v0.1.35 — Settings-Catalog-Import-Fix und Update-Check hinter Proxy

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Settings-Catalog-Import: choiceSettingCollectionValue als Array erzwingen
2026-09-15 17:50:27 +02:00 · 2026-09-15 17:49:30 +02:00 · 2026-09-14 10:59:02 +02:00 · 2026-09-14 09:49:43 +02:00 · 2026-09-14 07:49:14 +02:00 · 2026-09-13 15:59:30 +02:00
15 changed files with 4611 additions and 349 deletions
@@ -107,3 +107,50 @@ jobs:
            - `Microsoft.Graph.Authentication` Modul (wird beim ersten Start automatisch angeboten)
          files: "IntuneManager-${{ steps.ver.outputs.TAG }}.msi"
          generate_release_notes: false
      - name: Mirror MSI to Gitea release
        shell: pwsh
        env:
          GITEA_TOKEN: ${{ secrets.GITEA_TOKEN }}
          GITEA_BASE:  https://git.wende.it/api/v1
          GITEA_OWNER: marco
          GITEA_REPO:  Intune-Manager
          TAG:         ${{ steps.ver.outputs.TAG }}
          MSI_NAME:    ${{ steps.build.outputs.MSI_NAME }}
          COMMIT_SHA:  ${{ github.sha }}
        run: |
          if ([string]::IsNullOrWhiteSpace($env:GITEA_TOKEN)) {
            Write-Host "::notice::GITEA_TOKEN nicht gesetzt — Gitea-Upload uebersprungen."
            exit 0
          }
          $headers = @{ Authorization = "token $env:GITEA_TOKEN" }
          $repoUrl = "$($env:GITEA_BASE)/repos/$($env:GITEA_OWNER)/$($env:GITEA_REPO)"
          # Release per Tag suchen; sonst anlegen (Tag wird bei Bedarf am Commit erzeugt).
          $rel = $null
          try { $rel = Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases/tags/$($env:TAG)" -Method GET } catch { $rel = $null }
          if (-not $rel) {
            $body = @{
              tag_name         = $env:TAG
              target_commitish = $env:COMMIT_SHA
              name             = "Intune Manager $($env:TAG)"
              body             = "Automatisch aus der GitHub-CI gespiegelt."
            } | ConvertTo-Json
            $rel = Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases" -Method POST -ContentType 'application/json' -Body $body
          }
          $relId = $rel.id
          # Vorhandenes Asset gleichen Namens entfernen (idempotent bei Re-Runs).
          try {
            $assets = Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases/$relId/assets" -Method GET
            foreach ($a in @($assets)) {
              if ($a.name -eq $env:MSI_NAME) {
                Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases/$relId/assets/$($a.id)" -Method DELETE | Out-Null
              }
            }
          } catch {}
          # MSI als Attachment hochladen (multipart, Feldname 'attachment').
          $assetUri = "$repoUrl/releases/$relId/assets?name=$([uri]::EscapeDataString($env:MSI_NAME))"
          Invoke-RestMethod -Headers $headers -Uri $assetUri -Method POST -Form @{ attachment = Get-Item -LiteralPath $env:MSI_NAME } | Out-Null
          Write-Host "MSI '$($env:MSI_NAME)' -> Gitea-Release '$($env:TAG)' hochgeladen."
@@ -5,6 +5,166 @@ Versionierung folgt [Semantic Versioning](https://semver.org/lang/de/) — solan
 ---
 ## [0.1.35] - 2026-09-15
 Settings-Catalog-Import-Fix und Update-Check hinter Proxy.
 ### Behoben
 - **Settings-Catalog-Import** (400 „Property choiceSettingCollectionValue … does not match schema"): `choiceSettingCollectionValue` fehlte in der Array-Normalisierung. Beim JSON-Roundtrip unter PowerShell 5.1 wurde ein Ein-Element-`choiceSettingCollectionValue` zum Einzelobjekt entpackt und von Graph abgelehnt (z. B. „Default Defender Antivirus Policy"). Wird jetzt wie `group-`/`simpleSettingCollectionValue` behandelt.
 - **Update-Check hinter authentifiziertem Proxy** (HTTP 407): Der Versions-Check schlug hinter Unternehmens-Proxys (NTLM/Kerberos) still fehl, weil `Invoke-RestMethod` keine Anmeldeinformationen an den Proxy sendete. Die angemeldeten Windows-Credentials werden jetzt an den System-Proxy durchgereicht; optionaler expliziter Proxy über `settings.json → update.proxy`.
 ---
 ## [0.1.34] - 2026-09-14
 Verwaltungsart in der Geräteliste, Autopilot-Zeitstempel im Detail.
 ### Neu
 - **Spalte „Verwaltung"** in der Geräteliste: zeigt je Gerät, ob es **Intune** (reines MDM) oder **Co-Managed** (ConfigMgr + Intune) ist — abgeleitet aus `managementAgent`. Farbige Badges, sortierbar, auch im CSV-Export und im Detail-Panel.
 - **Autopilot-Infos im Geräte-Detail**: Beim Auswählen eines Windows-Geräts wird die Autopilot-Identity per Seriennummer nachgeladen und zeigt **Registrierungsstatus**, **Profil zugewiesen am** (`deploymentProfileAssignedDateTime`) und **letzter Autopilot-Kontakt** (`lastContactedDateTime`). Hinweis: Ein exaktes Autopilot-Importdatum liefert Microsoft Graph nicht; angezeigt werden die verfügbaren Zeitstempel. Kein Performance-Einfluss auf die Liste (Lookup nur pro ausgewähltem Gerät), keine neue Berechtigung nötig.
 ---
 ## [0.1.33] - 2026-09-13
 Offboarding-Report und Update-Hinweis.
 ### Neu
 - **Offboarding-Report**: Nach dem Ausführen erzeugt das Offboarding einen **HTML-Report** (`/reports/offboard-report-<zeit>.html`) im Stil des Zuweisungs-Reports — mit KPIs (Geräte / Aktionen / Erfolg / Fehler) und **pro Gerät** einer Tabelle der ausgeführten Löschungen (Dienst · Aktion · Status · Meldung). Das Ergebnis im Dialog ist jetzt ebenfalls **pro Gerät gruppiert**, plus ein Button „HTML-Report öffnen".
 - **Update-Hinweis**: Beim Start prüft die App (nicht-blockierend) die neueste Release-Version über **Gitea** und zeigt bei einer neueren Version ein **Badge in der Kopfzeile** mit Link zur Release-Seite (dort MSI herunterladen → In-Place-Upgrade). Nur Lesezugriff; optionaler read-only Token via `settings.json → update.token`, falls das Repo privat ist. Neuer Endpoint `GET /api/update/check`.
 ---
 ## [0.1.32] - 2026-09-11
 Bulk-Offboarding aus dem Geräte-Tab, Geräte-Ladefehler behoben, bessere Graph-Diagnose.
 ### Neu
 - **Bulk-Offboarding aus dem Geräte-Tab**: Geräte per Checkbox (inkl. „Alle sichtbaren") auswählen und über den Button **„Offboarden"** direkt in den Offboard-Dialog übergeben — kombinierbar mit dem Gruppen-Filter (z. B. alle Geräte einer Gruppe). Die Auswahl wird server-seitig zu vollständigen Offboard-Objekten aufgelöst (Entra-Object-Id + Autopilot-Id nachgeladen). Neuer Endpoint `POST /api/offboard/resolve`. Im Read-Only-Modus ausgeblendet.
 ### Behoben
 - **„Geräte konnten nicht geladen werden" (400 BadRequest)**: Intunes DeviceFE-Backend lehnte die Abfrage ab. Ursachen entfernt: `managementState` ist kein gültiges `$select`-Feld (raus), `$orderby` wird nicht mehr gesendet (Sortierung macht das Frontend), und der Namensfilter fällt bei nicht unterstütztem `startswith` automatisch auf `deviceName`-only zurück. Geräte-Endpoints nutzen jetzt `beta` (wie der Offboard-Abruf).
 - **Bessere Graph-Fehler-Diagnose**: Bei Nicht-Retry-Fehlern wird der **Graph-Fehler-Body** an die Meldung gehängt (statt nur „BadRequest") — die eigentliche Ursache steht jetzt im Log/Toast.
 - **Offboarding**: Wird eine Autopilot-Zuordnung nicht gefunden, zeigt der Dialog jetzt den **Grund** (fehlende Berechtigung vs. kein Seriennummer-Treffer), statt kommentarlos „Autopilot: –".
 ---
 ## [0.1.31] - 2026-09-11
 Policy-Konsolidierung, Geräte-Export nach Gruppe, Gruppen-in-Gruppen, Geräte-Fixes.
 ### Neu
 - **Policies zusammenführen** (Settings Catalog): Mehrere Settings-Catalog-Policies zu **einer neuen** Policy vereinen. Gleiche Einstellungen werden einmal übernommen, **Konflikte** (gleiche `settingDefinitionId`, anderer Wert) werden vor dem Anlegen angezeigt und pro Konflikt aufgelöst. Button „Konsolidieren" im Policies-Tab (ab 2 gewählten Settings-Catalog-Policies). Neuer Endpoint `POST /api/policies/consolidate`.
 - **Geräte nach Gruppe exportieren**: Im **Geräte**-Tab neuer **Gruppen-Filter** (Live-Suche) — die Liste zeigt nur die Geräte der Gruppen-User (inkl. verschachtelter Gruppen) — plus **CSV-Export** der aktuell angezeigten Liste. Kombinierbar mit Suche/OS/Compliance. Neuer Endpoint `GET /api/groups/{id}/devices/export`.
 - **Gruppen zu Gruppen hinzufügen**: Im Group-Management-Tab „Benutzer | Gruppen hinzufügen" ein Umschalter **Benutzer / Gruppen** — eine bestehende Gruppe als Mitglied (verschachtelte Gruppe) zur gewählten Gruppe hinzufügen.
 ### Behoben
 - **Geräte „Invalid Date"**: `lastSyncDateTime`/`enrolledDateTime` werden jetzt server-seitig als ISO 8601 normalisiert (`ConvertTo-IsoDate`) — vorher kam unter PowerShell 5.1 ein nicht parsbares Format an. Anzeige zusätzlich robust (ungültig → „—").
 - **Geräte-Sortierung**: Die Spalten-Sortierung war komplett wirkungslos (Header-Feldnamen ≠ Item-Properties). Jetzt sortieren alle Spalten korrekt, **Datums-Spalten numerisch** nach Zeitstempel (Klick auf „Letzter Sync" / „Eingeschrieben").
 ---
 ## [0.1.30] - 2026-09-03
 Policy-Bulk-Import gehärtet, macOS-Apps, Gruppen-Suche & Direkt-Zuweisung an Apps.
 ### Neu
 - **Bulk-Import von Policies**: Mehrere Policy-Dateien (oder eine Bundle-Datei) auf einmal importieren. Läuft server-seitig in Batches à 5 mit Fortschrittsanzeige und Fehler-Isolierung pro Batch — umgeht das 180-s-Timeout einzelner Requests.
 - **macOS-Apps** erscheinen jetzt in App-Liste und -Suche (DMG, PKG, LOB, Defender, Edge, M365, VPP) mit eigenen Typ-Labels. Neuer **Plattform-Filter** (Alle / Windows / macOS).
 - **Gruppen-Suche** im Ziel-Panel: Der frühere „Abteilung"-Tab heißt jetzt **„Gruppe"** und durchsucht per Live-Suche **alle** Tenant-Gruppen (statt nur Präfix-Gruppen). Auswahl bleibt über mehrere Suchen erhalten.
 - **Bestehende Gruppe(n) direkt einer App zuweisen**: Im Dialog „Zuweisung hinzufügen" neue Option „Bestehende Gruppe" (Required/Available) mit Gruppensuche und **Mehrfachauswahl** (Chips).
 ### Behoben
 - **App-Zuweisung überschrieb bestehende Zuweisungen**: `Add-GraphAppAssignment` nutzte die `/assign`-Action mit nur einer Zuweisung — diese ersetzt aber die komplette Liste. Jetzt werden bestehende Zuweisungen geladen, neue gemergt (Duplikate übersprungen) und in **einem** Request geschickt. Behebt sowohl die Mehrfach-Zuweisung als auch stillen Verlust vorhandener Zuweisungen beim Einzel-Hinzufügen.
 - **Policy-Export/-Import-Treue** (Windows PowerShell 5.1): Policy-Details werden als **rohes JSON** von Graph geholt (`-OutputType Json`), sonst skalarisierte der Hashtable-Modus Ein-Element-Collections (z. B. `printerNames`) → 400 beim Re-Import.
 - **Configuration-Profile-Import**: `null`-Werte für nicht-nullbare Collections werden entfernt (400 `ModelValidationFailure`).
 - **Settings-Catalog-Import**: Reparatur leerer/verstümmelter Collections (`[""]`, `{}`), Rettung stringifizierter `*TemplateReference`-Felder und **klarer Abbruch** bei irreparabel beschädigten Quelldateien (alte Exporte mit zu geringer JSON-Tiefe).
 - **Git-Snapshot**: `git` wird jetzt auch über bekannte Installationsorte gefunden, falls es nicht im (veralteten) PATH des Server-Prozesses liegt.
 ---
 ## [0.1.29] - 2026-08-24
 Geräte-Offboarding (v1).
 ### Neu
 - **Geräte-Offboarding** als neue Ansicht: Geräte über **Intune, Autopilot und Entra ID** hinweg entfernen (Decommissioning). Portiert aus dem [Device Offboarding Manager](https://github.com/ugurkocde/DeviceOffboardingManager) von Ugur Koc (MIT-Lizenz).
  - Suche per Gerätename/Seriennummer, Auflösung der IDs über alle drei Dienste (`$batch`)
  - **Recovery-Keys vor dem Löschen**: BitLocker/FileVault und LAPS-Passwörter werden angezeigt
  - Bestätigungs-Dialog mit Dienst-Auswahl (Entra löschen/deaktivieren, Intune, Autopilot), Pflicht-Bestätigung und Ergebnis-Liste; **403/Multi-Admin-Approval** wird abgefangen
  - Im **Read-Only-Modus gesperrt**
  - Neue Endpoints: `GET /api/offboard/search`, `POST /api/offboard/keys`, `POST /api/offboard/execute` (neues Modul `src/Offboard.ps1`)
  - Zusätzliche Berechtigungen dokumentiert; Setup-Skript-Schalter `-IncludeOffboarding`. (MDE-Offboarding bewusst nicht in v1.)
 ---
 ## [0.1.28] - 2026-08-24
 Umbenennen beim Import, UI-Fixes, Geräte-Export repariert.
 ### Neu
 - **Umbenennen beim Import**: Vor dem Anlegen kann jeder importierten Policy im neuen Dialog „Policies importieren" ein anderer Name gegeben werden (das richtige Namensfeld je Typ — `name`/`displayName` — wird gesetzt).
 ### Behoben
 - **Geräte-Export im App Report**: Der von Graph entfernte synchrone Endpoint `getDeviceInstallStatusReport` (400 „Resource not found for the segment") ist durch den asynchronen Export-Job **`DeviceInstallStatusByApp`** ersetzt (ZIP/CSV-Auswertung, tolerantes Spalten-Mapping). ZIP/CSV-Logik in `Get-IntuneReportRows` ausgelagert.
 - **Darkmode-Kontrast** im Zuweisungs-Dialog: Gruppen-Chips nutzen jetzt die Theme-Variablen (`--surface-strong`/`--ink` statt fester heller Farben) — heller Text auf hellem Chip behoben.
 - **Dialog-Breite**: Lange Policy-Namen im Zuweisungs-/Import-Dialog brechen jetzt um (`overflow-wrap`/`flex-wrap`) statt horizontal zu scrollen; das Fenster passt sich der Breite an.
 ---
 ## [0.1.27] - 2026-08-23
 Policy-Import härter, Administrative Vorlagen, Zuweisung nach Import, Git-Snapshot, App-Registrierungs-Doku.
 ### Neu
 - **Administrative Vorlagen (ADMX / `groupPolicyConfigurations`)** als vierter Policy-Typ für Export und Import. Beim Import wird die Konfigurations-Hülle angelegt und jede Einstellung einzeln über `definition@odata.bind` / `presentation@odata.bind` angehängt (eingebaute ADMX-Definitionen sind tenantübergreifend gültig). Neuer Endpoint `GET /api/policies/administrativetemplate`.
 - **Zuweisung direkt nach Import**: Dialog listet die neu angelegten Policies und lässt **pro Policy Include-/Exclude-Gruppen** im Ziel-Tenant zuweisen (Typeahead über die vorhandene Gruppensuche). Neuer Endpoint `POST /api/policies/assign` (nutzt die typ-spezifische `/assign`-Action für alle vier Typen).
 - **Git-Snapshot (versioniertes Policy-Backup)**: Button „Git-Snapshot" schreibt alle Policies aller Typen als JSON in einen konfigurierten lokalen Git-Ordner und committet sie (optional `git push` über den vorhandenen Credential-Helper). Stabile Dateinamen + deterministische, zeitstempel-freie Ausgabe → saubere Diffs. Neue Settings-Sektion `policyBackup` (`gitRepoPath`, `push`).
 - Import akzeptiert jetzt auch **Git-Snapshot-Dateien** (Feld `policyType` zusätzlich zu `exportType`).
 - **Doku + Provisioning-Skript für die App-Registrierung**: [`docs/App-Registration.md`](docs/App-Registration.md) listet alle benötigten delegierten Graph-Berechtigungen (Kern, Geräte-Tab, Read-Only) samt Auth-Konfiguration; [`docs/Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1) legt die Registrierung automatisch an bzw. aktualisiert sie (Rechte, Public-Client-Flow, Redirect-URIs, optional Admin-Consent) — Berechtigungs-IDs werden live aufgelöst, keine fest verdrahteten GUIDs.
 ### Behoben
 - **Settings-Catalog-Import** war gegen Graph-Schema-Fehler anfällig: verschachtelte Collection-Properties (`children`, `*SettingCollectionValue`) werden jetzt konsequent als Arrays serialisiert (repariert PowerShell-5.1-JSON-Roundtrip-Schäden), `null`-Collections werden zu `[]` (Graph verlangt `Nullable=False`), der Wrapper-`@odata.type` wird je Setting gesetzt und das read-only `id`-Feld entfernt.
 - **Phantom-Fehler beim Import**: ein fehlendes `fileNames`-Feld erzeugte über `@($null)` einen Geisterdurchlauf im Archiv-Pfad und meldete fälschlich „1 fehlgeschlagen".
 - **Tenant-Wechsel**: das Frontend zeigte weiter die Apps/Gruppen des vorherigen Tenants, weil die Lade-Guards nicht zurückgesetzt wurden. Alle datentragenden Caches werden jetzt beim Wechsel verworfen (`resetClientState`).
 - **WAM-Anmeldefenster** kommt beim Login/Tenant-Wechsel zuverlässig in den Vordergrund (AttachThreadInput + kurzer ALT-Tap zum Lösen des Windows-Foreground-Locks).
 ---
 ## [0.1.26] - 2026-08-21
 Multi-Tenant, Pro-Tenant-Vorgaben, RPA entfernt.
 ### Neu
 - **Multi-Tenant-Modus** (umschaltbar in den Einstellungen, Single/Multi): mehrere Mandanten mit **je eigener App-Registrierung**; Umschalter in der Topbar mit **Sofort-Reconnect**. Bestehende Single-Tenant-Konfiguration wird verlustfrei übernommen.
 - **Pro-Tenant-Vorgaben** mit globalem Fallback: **Abteilungs-Präfixe** sowie **Required-/Available-Gruppen-Naming** je Profil überschreibbar (leer = globale Vorgabe).
 - **Policy-Export als Einzeldateien** bei Mehrfachauswahl (statt Bundle).
 - **CI**: gebaute MSI wird zusätzlich als **Gitea-Release-Asset** gespiegelt (Secret `GITEA_TOKEN`).
 - Hilfe-Fenster: Hinweis „Entwickelt von WendeIT – Marco Wende".
 ### Geändert / Entfernt
 - **RPA-Funktion entfernt**: RPA-Tab, RPA-Einstellungen und RPA-Test-Anzeige sind nicht mehr vorhanden.
 - Setup-Zwang gelockert: nur **Tenant ID + Client ID** sind Pflicht; Abteilungs-Präfixe sind optional.
 - Klarere Fehlermeldung bei nicht erreichbarem lokalen Server (statt „Failed to fetch").
 ---
 ## [0.1.25] - 2026-08-19
 Policy Export/Import und Geräte-Tab.
@@ -39,6 +39,43 @@ Beenden: `Ctrl+C` im Terminal.
 ---
 ## Single- vs. Multi-Tenant
 Unter **Settings → Verbindung → Verbindungsmodus** wählst du zwischen:
 | Modus         | Verhalten                                                                 |
 |---------------|---------------------------------------------------------------------------|
 | Single-Tenant | Klassisch: ein Mandant (Tenant ID + App-Registrierung). Standard.         |
 | Multi-Tenant  | Mehrere Mandanten mit **je eigener App-Registrierung**; Umschalten oben rechts |
 Im Multi-Tenant-Modus legst du pro Mandant ein Profil an (Bezeichnung, Tenant ID,
 Client-ID Read/Write, optional Client-ID Read-Only). Der **aktive** Mandant ist
 markiert. Über das **Dropdown in der Topbar** wechselst du zwischen den Mandanten —
 der Wechsel trennt die aktuelle Verbindung und verbindet **sofort neu** mit dem
 gewählten Tenant (Login-Prompt erscheint). Alle Caches werden beim Wechsel geleert.
 > Die Scopes (RW/RO) gelten **global** für alle Profile. Jeder Mandant benötigt
 > eine eigene App-Registrierung mit denselben delegierten Berechtigungen und
 > (Admin-)Consent im jeweiligen Tenant. Bestehende Single-Tenant-Konfigurationen
 > werden verlustfrei übernommen (Umschalten auf Multi bietet an, das vorhandene
 > Setup als erstes Profil zu übernehmen).
 ### Pro-Tenant-Vorgaben
 Jedes Tenant-Profil kann **eigene Vorgaben** hinterlegen (z. B. Kunde A → `abt-hm-*`,
 Kunde B → `dept-*`):
 - **Abteilungs-Präfixe**
 - **Required-Gruppen-Naming** (Präfix/Suffix)
 - **Available-Gruppen-Naming** (Präfix/Suffix)
 Bleibt ein Feld **leer, gilt die globale Vorgabe** aus den entsprechenden
 Einstellungs-Abschnitten (bei Naming greift der Fallback pro Feld einzeln). Beim
 Mandantenwechsel werden die Caches geleert, sodass die passenden Vorgaben gegen
 den aktiven Tenant wirken.
 ---
 ## Verbindungsmodus (Read/Write vs. Read-Only)
 Der Server probiert beim Verbinden **zuerst die Read/Write-App-ID** (`clientId`).
@@ -53,7 +90,7 @@ Schlaegt diese fehl, wird automatisch auf die **Read-Only-App-ID** (`clientIdRo`
 - App-Zuweisung (Required / Available hinzufuegen und entfernen)
 - Gruppen erstellen und loeschen
- Tab „Benutzer hinzufuegen" im Group Management
+- Tab „Benutzer | Gruppen hinzufuegen" im Group Management
 - Tab „CSV-Import" im Group Management
 - Session-Ausfuehren-Button
 - Alle Rename-/Delete-Buttons
@@ -83,6 +120,11 @@ Settings → Verbindung
 > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur
 > Zaehler = 0 und der Geraete-Export liefert keine Eintraege.
 **Vollstaendige Berechtigungsliste, Redirect-URIs und ein Skript, das die
 App-Registrierung automatisch anlegt/konfiguriert:**
 [docs/App-Registration.md](docs/App-Registration.md) &mdash; inkl.
 [`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1).
 ---
 ## Navigation (Tabs)
@@ -90,10 +132,10 @@ Settings → Verbindung
 | Tab                | Beschreibung                                                |
 |--------------------|-------------------------------------------------------------|
 | App Management     | Haupt-Ansicht: Apps laden, Gruppen zuweisen / entfernen     |
-| Group Management   | Mitglieder anzeigen, exportieren, Benutzer hinzufuegen, CSV-Import |
+| Group Management   | Mitglieder anzeigen/exportieren, Benutzer **und Gruppen** hinzufuegen, CSV-Import |
 | App Report         | Installationszaehler pro App, Geraete-Export als CSV        |
-| Geräte             | Geraete suchen, Detail-Panel, Aktionen (Sync, Wipe, …)      |
+| Geräte             | Geraete suchen, Filter (auch nach **Gruppe**), CSV-Export, **Bulk-Offboarding**, Detail-Panel, Aktionen (Sync, Wipe, …) |
-| Policies           | Policies exportieren (JSON-Download) und importieren (Neuanlage) |
+| Policies           | Policies exportieren/importieren (Neuanlage) und **zusammenfuehren** (Settings Catalog) |
 ---
@@ -106,10 +148,11 @@ Settings → Verbindung
 - Filter zum Einschraenken der Anzeige
 - **Als CSV exportieren** laedt alle Mitglieder als `members-<Gruppe>-<Datum>.csv`
-### Benutzer hinzufuegen *(nur Read/Write)*
+### Benutzer | Gruppen hinzufuegen *(nur Read/Write)*
- Benutzer per Name, UPN oder E-Mail suchen
+- Umschalter **Benutzer / Gruppen** oben im Tab
- Mehrere Benutzer auswaehlen und gemeinsam hinzufuegen
+- Benutzer per Name, UPN oder E-Mail suchen — oder Gruppen per Name (verschachtelte Gruppen)
 - Mehrere Eintraege auswaehlen und gemeinsam zur gewaehlten Gruppe hinzufuegen
 ### CSV-Import *(nur Read/Write)*
@@ -193,6 +236,16 @@ neu an. Unterstuetzte Typen:
 > bekommen bei Bedarf einen Default-`scheduledActionsForRule`-Block, den Graph
 > beim Anlegen zwingend verlangt.
 ### Konsolidieren *(nur Read/Write, nur Settings Catalog)*
 - Mindestens zwei **Settings-Catalog**-Policies per Checkbox waehlen →
  **„Konsolidieren"**
 - Die Einstellungen werden zu **einer neuen** Policy vereint (Neuanlage) — gleiche
  `settingDefinitionId` mit gleichem Wert wird einmal uebernommen
 - **Konflikte** (gleiche Einstellung, unterschiedlicher Wert) werden vor dem
  Anlegen angezeigt; pro Konflikt waehlst du, welche Policy gewinnt
 - Voraussetzung: gleiche Plattform. Zuweisungen werden nicht uebernommen.
 ### Benoetigt Graph-Berechtigung
 `DeviceManagementConfiguration.ReadWrite.All` (Import) bzw.
@@ -200,6 +253,21 @@ neu an. Unterstuetzte Typen:
 automatisch zur Verbindung ergaenzt — in der Azure-App-Registration muss die
 Berechtigung aber vorhanden und (Admin-)zugestimmt sein.
 ### Git-Snapshot (versioniertes Backup)
 Button **„Git-Snapshot"** im Policies-Tab schreibt **alle** Policies aller Typen
 als JSON in einen konfigurierten **lokalen Git-Ordner** und committet sie
 automatisch — ideal als versioniertes Backup mit nachvollziehbarer History.
 - Konfiguration: **Settings → Policy-Backup (Git)** — lokaler Repo-Pfad (wird bei
  Bedarf angelegt und `git init`-isiert) + optional **automatischer `git push`**
  (nutzt den vorhandenen Git-Credential-Helper; **kein Token in der App**).
 - **Stabile Dateinamen** (`<tenant>/<typ>/<name>__<id8>.json`) und deterministische,
  zeitstempel-freie JSON-Ausgabe → saubere Git-Diffs zwischen Snapshots. Entfernte
  Policies verschwinden aus dem Snapshot.
 - Multi-Tenant: je Mandant ein eigener Unterordner (nach Profil-Label bzw. Tenant-ID).
 - Gibt es keine Aenderungen seit dem letzten Snapshot, wird nichts committet.
 ---
 ## Architektur
@@ -238,8 +306,9 @@ Intune Manager/
 | POST    | `/api/groups/resolve-upns`                | Read      | UPN-Liste → UserId + DisplayName         |
 | GET     | `/api/groups/{id}/members`                | Read      | Mitglieder einer Gruppe                  |
 | GET     | `/api/groups/{id}/members/export`         | Read      | Mitglieder als CSV                       |
-| POST    | `/api/groups/{id}/members`                | **Write** | Benutzer zur Gruppe hinzufuegen          |
+| POST    | `/api/groups/{id}/members`                | **Write** | Benutzer/Gruppen zur Gruppe hinzufuegen  |
-| DELETE  | `/api/groups/{id}/members/{uid}`          | **Write** | Benutzer aus Gruppe entfernen            |
+| DELETE  | `/api/groups/{id}/members/{uid}`          | **Write** | Benutzer/Gruppe aus Gruppe entfernen     |
 | GET     | `/api/groups/{id}/devices/export`         | Read+MDM  | Geraete der Gruppen-User als CSV         |
 | GET     | `/api/users?q=`                           | Read      | Benutzer suchen                          |
 | GET     | `/api/apps`                               | Read      | Apps laden (cached)                      |
 | POST    | `/api/apps/refresh`                       | Read      | Apps neu laden                           |
@@ -254,6 +323,7 @@ Intune Manager/
 | POST    | `/api/policies/export`                     | Read+Cfg  | Ausgewaehlte Policies als JSON exportieren |
 | GET     | `/api/policies/exports`                    | —         | Server-Archiv der Exporte auflisten      |
 | POST    | `/api/policies/import`                     | **Write** | Policies als Neuanlage importieren       |
 | POST    | `/api/policies/consolidate`                | **Write** | Settings-Catalog-Policies zusammenfuehren |
 > **Read+MDM** = benoetigt zusaetzlich `DeviceManagementManagedDevices.Read.All`
 > **Read+Cfg** = benoetigt `DeviceManagementConfiguration.Read.All` (Export) bzw. `.ReadWrite.All` (Import)
@@ -137,6 +137,7 @@ if (-not $SkipModuleCheck) {
 . (Join-Path $root "src/Graph.ps1")
 . (Join-Path $root "src/Api.ps1")
 . (Join-Path $root "src/PolicyIO.ps1")
 . (Join-Path $root "src/Offboard.ps1")
 . (Join-Path $root "src/Router.ps1")
 . (Join-Path $root "src/Server.ps1")
@@ -148,10 +149,12 @@ if ($ClientId) { $script:Settings.connection.clientId = $ClientId }
 # Globale Konfiguration. TenantId/ClientId/Scopes spiegeln die Settings �
 # Connect-Endpoint und Co. lesen weiterhin $script:Config, das nach jedem
 # Settings-Save aktualisiert wird.
 # Im Multi-Tenant-Modus kommen TenantId/ClientId aus dem aktiven Profil.
 $script:StartupConn = Get-ActiveConnection -Settings $script:Settings
 $script:Config = @{
-    TenantId   = $script:Settings.connection.tenantId
+    TenantId   = $script:StartupConn.tenantId
-    ClientId   = $script:Settings.connection.clientId
+    ClientId   = $script:StartupConn.clientId
-    ClientIdRo = $script:Settings.connection.clientIdRo
+    ClientIdRo = $script:StartupConn.clientIdRo
    Scopes     = @($script:Settings.connection.scopes)
    ScopesRo   = @($script:Settings.connection.scopesRo)
    WebRoot    = (Join-Path $root "www")
@@ -186,7 +189,7 @@ $script:State = [pscustomobject]@{
    Session        = @()      # geplante Zuweisungen
 }
-$script:ToolVersion = "0.1.25"
+$script:ToolVersion = "0.1.35"
 $script:BuildStamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
 Write-Host ""
@@ -0,0 +1,150 @@
 # App-Registrierung & Berechtigungen
 Der Intune Manager meldet sich als **delegierte** Anwendung an (Device-Code- bzw.
 WAM-Login) — er handelt also immer **im Namen des angemeldeten Admins**, nie mit
 Anwendungsrechten. Die App-Registrierung braucht daher **delegierte
 Microsoft-Graph-Berechtigungen** plus die passende Authentifizierungs-Konfiguration.
 > **Schnellweg:** Statt alles von Hand zu klicken, legt das Skript
 > [`Setup-AppRegistration.ps1`](Setup-AppRegistration.ps1) die Registrierung
 > komplett an (Rechte + Public-Client-Flow + Redirect-URIs + optional Consent).
 > Siehe [Automatische Einrichtung](#automatische-einrichtung).
 ---
 ## Benötigte Berechtigungen
 Alle Berechtigungen sind vom Typ **Delegiert** (Microsoft Graph).
 ### Kern (immer erforderlich)
 | Berechtigung | Wofür |
 |---|---|
 | `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
 | `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
 | `User.Read.All` | Benutzersuche, UPN-Auflösung |
 | `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren, App-Report |
 | `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, zuweisen |
 | `offline_access` | Refresh-Token (Device-Code-Flow) |
 > `DeviceManagementConfiguration.ReadWrite.All` wird vom Tool automatisch zur
 > Verbindung ergänzt — die App-Registrierung muss die Berechtigung aber besitzen
 > und (Admin-)zugestimmt bekommen haben, sonst schlägt der Policy-Import mit
 > `403 Forbidden` fehl.
 ### Geräte-Tab (optional)
 Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) genutzt wird:
 | Berechtigung | Wofür |
 |---|---|
 | `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
 | `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
 ### Geräte-Offboarding (optional)
 Nur nötig, wenn die **Offboarding**-Ansicht (Geräte aus Intune + Autopilot + Entra
 entfernen, Recovery-Keys lesen) genutzt wird:
 | Berechtigung | Wofür |
 |---|---|
 | `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
 | `DeviceManagementServiceConfig.ReadWrite.All` | Gerät aus Autopilot löschen |
 | `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
 | `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
 > **Wichtig:** Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
 > Anmeldung zusätzlich **Verzeichnis-/Intune-Rollen** (Cloud Device Administrator
 > bzw. Intune Administrator) — die Scopes allein reichen nicht, sonst `403`.
 > Diese Scopes müssen außerdem in den **Read/Write-Scopes** des Tools eingetragen
 > sein (Einstellungen → Verbindung), damit sie im Token landen.
 > Skript: `.\docs\Setup-AppRegistration.ps1 -IncludeOffboarding -GrantAdminConsent`
 ### Read-Only-Variante
 Für eine reine Anzeige-App (im Tool als `clientIdRo` hinterlegbar) genügen die
 `*.Read.All`-Pendants:
 `Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
 `DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
 `offline_access` (+ optional `DeviceManagementManagedDevices.Read.All`).
 ---
 ## Authentifizierungs-Konfiguration
 Zusätzlich zu den Berechtigungen muss die App als **öffentlicher Client** nutzbar
 sein — sonst scheitert der erste Login (`AADSTS500113` bzw. `AADSTS50011`):
 1. **Öffentliche Clientflows zulassen** → **Ja**
   (Entra → App-Registrierung → *Authentifizierung* → ganz unten;
   im Manifest `isFallbackPublicClient = true`).
 2. **Redirect-URIs** unter *Mobilgerät- und Desktopanwendungen*:
   ```
   https://login.microsoftonline.com/common/oauth2/nativeclient
   ms-appx-web://Microsoft.AAD.BrokerPlugin/<CLIENT-ID>
   ```
   - Zeile 1 → **Device-Code-Flow**
   - Zeile 2 → **WAM-Broker** (Windows-Anmeldefenster); `<CLIENT-ID>` ist die
     AppId der Registrierung selbst.
 3. **Multi-Tenant:** Wird dieselbe App gegen fremde Tenants genutzt, muss
   `signInAudience` auf *Accounts in any organizational directory*
   (`AzureADMultipleOrgs`) stehen und im Ziel-Tenant per Admin-Consent
   bereitgestellt werden. Bei einer eigenen App **pro** Tenant ist Single-Tenant
   ausreichend.
 ---
 ## Automatische Einrichtung
 Das Skript [`Setup-AppRegistration.ps1`](Setup-AppRegistration.ps1) erledigt alles
 oben Genannte über Microsoft Graph. Es braucht nur das Modul
 `Microsoft.Graph.Authentication` (dieselbe Abhängigkeit wie das Tool) und löst die
 Berechtigungs-IDs **live** aus dem Graph-Service-Principal auf — keine fest
 verdrahteten GUIDs.
 ```powershell
 # Einmalig:
 Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
 # Neue Single-Tenant-App inkl. Admin-Consent:
 .\docs\Setup-AppRegistration.ps1 -GrantAdminConsent
 # Mit Geräte-Rechten:
 .\docs\Setup-AppRegistration.ps1 -IncludeDeviceActions -GrantAdminConsent
 # Multi-Tenant-App:
 .\docs\Setup-AppRegistration.ps1 -MultiTenant -GrantAdminConsent
 # Bestehende App nur um Rechte/Redirect-URIs ergänzen:
 .\docs\Setup-AppRegistration.ps1 -ClientId "<APP-ID>" -GrantAdminConsent
 # Nur das Manifest-Snippet ausgeben (ohne etwas anzulegen wäre -WhatIf-artig —
 # hier zusätzlich zum Anlegen):
 .\docs\Setup-AppRegistration.ps1 -EmitManifest
 ```
 Am Ende gibt das Skript **Tenant ID** und **Client ID** aus — diese Werte im
 Intune Manager unter *Einstellungen → Verbindung* (bzw. im Tenant-Profil)
 eintragen.
 Die zum Anlegen/Ändern nötigen Admin-Rechte (`Application.ReadWrite.All`, für
 Consent zusätzlich `DelegatedPermissionGrant.ReadWrite.All`) werden beim
 `Connect-MgGraph`-Aufruf des Skripts einmalig abgefragt.
 ---
 ## Manuelle Einrichtung (Portal)
 1. **Entra** → *App-Registrierungen* → *Neue Registrierung* → Name vergeben,
   Kontotyp wählen (Single- oder Multi-Tenant) → **Registrieren**.
 2. *API-Berechtigungen* → *Berechtigung hinzufügen* → **Microsoft Graph** →
   **Delegierte Berechtigungen** → die [Kern-Berechtigungen](#kern-immer-erforderlich)
   (und bei Bedarf die [Geräte-Berechtigungen](#geräte-tab-optional)) auswählen →
   **Administratorzustimmung erteilen**.
 3. *Authentifizierung* → [Authentifizierungs-Konfiguration](#authentifizierungs-konfiguration)
   wie oben setzen (Public-Client-Flow + beide Redirect-URIs).
 4. **Übersichtsseite**: *Anwendungs-(Client-)ID* und *Verzeichnis-(Mandanten-)ID*
   in den Intune Manager übernehmen.
@@ -0,0 +1,227 @@
 <#
 .SYNOPSIS
    Legt die App-Registrierung fuer den Intune Manager an (oder aktualisiert sie)
    inkl. Graph-Berechtigungen, Public-Client-Flow und Redirect-URIs.
 .DESCRIPTION
    Deckt genau die Punkte ab, an denen der erste Login sonst mit
    AADSTS500113 / AADSTS50011 scheitert:
      * Delegierte Microsoft-Graph-Berechtigungen (nach Bedarf: RW, RO, Geraete)
      * "Oeffentliche Clientflows zulassen" (isFallbackPublicClient = true)
      * Redirect-URIs fuer Device-Code (nativeclient) und WAM-Broker
      * optional Admin-Consent
    Nutzt nur Microsoft.Graph.Authentication (Invoke-MgGraphRequest) — dieselbe
    Abhaengigkeit wie das Tool selbst. Berechtigungs-IDs werden LIVE aus dem
    Graph-Service-Principal aufgeloest, es sind also keine fest verdrahteten
    GUIDs noetig (die sonst leicht veralten).
 .PARAMETER DisplayName
    Anzeigename der App-Registrierung. Default: "Intune Manager".
 .PARAMETER ClientId
    AppId einer BESTEHENDEN Registrierung, die aktualisiert werden soll.
    Ohne diesen Parameter wird eine NEUE App angelegt.
 .PARAMETER MultiTenant
    App fuer mehrere Tenants (signInAudience = AzureADMultipleOrgs).
    Default: nur der aktuelle Tenant (AzureADMyOrg).
 .PARAMETER ReadOnly
    Verwendet die Read-Only-Berechtigungen (fuer eine reine Anzeige-/RO-App,
    passend zu clientIdRo im Tool).
 .PARAMETER IncludeDeviceActions
    Nimmt zusaetzlich die Berechtigungen fuer den Geraete-Tab auf
    (Read + ReadWrite + PrivilegedOperations = Sync/Reboot/Lock/Wipe/Retire).
 .PARAMETER GrantAdminConsent
    Erteilt direkt tenantweiten Admin-Consent fuer die gesetzten Scopes.
    Benoetigt entsprechend privilegierte Anmeldung.
 .PARAMETER EmitManifest
    Gibt zusaetzlich den requiredResourceAccess-Block als JSON aus (zum manuellen
    Einfuegen in das App-Manifest im Portal).
 .EXAMPLE
    # Neue Single-Tenant-App inkl. Consent:
    .\Setup-AppRegistration.ps1 -GrantAdminConsent
 .EXAMPLE
    # Bestehende App um Geraete-Rechte erweitern:
    .\Setup-AppRegistration.ps1 -ClientId "51477347-...." -IncludeDeviceActions -GrantAdminConsent
 .NOTES
    Vorher einmalig:  Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
 #>
 [CmdletBinding()]
 param(
    [string]$DisplayName = 'Intune Manager',
    [string]$ClientId,
    [switch]$MultiTenant,
    [switch]$ReadOnly,
    [switch]$IncludeDeviceActions,
    [switch]$IncludeOffboarding,
    [switch]$GrantAdminConsent,
    [switch]$EmitManifest
 )
 $ErrorActionPreference = 'Stop'
 $GraphAppId = '00000003-0000-0000-c000-000000000000'   # Microsoft Graph
 # --- Benoetigte delegierte Berechtigungen zusammenstellen ---------------------
 $perms = if ($ReadOnly) {
    @('Group.Read.All','GroupMember.Read.All','User.Read.All',
      'DeviceManagementApps.Read.All','DeviceManagementConfiguration.Read.All','offline_access')
 } else {
    @('Group.ReadWrite.All','GroupMember.ReadWrite.All','User.Read.All',
      'DeviceManagementApps.ReadWrite.All','DeviceManagementConfiguration.ReadWrite.All','offline_access')
 }
 if ($IncludeDeviceActions) {
    $perms += if ($ReadOnly) {
        @('DeviceManagementManagedDevices.Read.All')
    } else {
        @('DeviceManagementManagedDevices.Read.All',
          'DeviceManagementManagedDevices.ReadWrite.All',
          'DeviceManagementManagedDevices.PrivilegedOperations.All')
    }
 }
 if ($IncludeOffboarding) {
    # Geraete ueber Intune/Autopilot/Entra entfernen + Recovery-Keys lesen.
    # ACHTUNG: Loeschen braucht zusaetzlich Verzeichnis-/Intune-ROLLEN (Cloud
    # Device Administrator / Intune Administrator) — nicht nur diese Scopes.
    $perms += @(
        'Device.ReadWrite.All',
        'DeviceManagementManagedDevices.ReadWrite.All',
        'DeviceManagementServiceConfig.ReadWrite.All',
        'BitlockerKey.Read.All',
        'DeviceLocalCredential.Read.All'
    )
 }
 $perms = $perms | Select-Object -Unique
 # --- Verbinden ----------------------------------------------------------------
 Write-Host "[1/6] Mit Microsoft Graph verbinden (Admin noetig)..." -ForegroundColor Cyan
 $connectScopes = @('Application.ReadWrite.All')
 if ($GrantAdminConsent) { $connectScopes += 'DelegatedPermissionGrant.ReadWrite.All' }
 Import-Module Microsoft.Graph.Authentication -ErrorAction Stop
 Connect-MgGraph -Scopes $connectScopes -NoWelcome
 $ctx = Get-MgContext
 if (-not $ctx) { throw 'Keine Graph-Verbindung.' }
 Write-Host "      verbunden mit Tenant $($ctx.TenantId) als $($ctx.Account)" -ForegroundColor DarkGray
 # --- Graph-Service-Principal + Berechtigungs-IDs aufloesen --------------------
 Write-Host "[2/6] Graph-Berechtigungen aufloesen..." -ForegroundColor Cyan
 $graphSp = (Invoke-MgGraphRequest -Method GET `
    -Uri "https://graph.microsoft.com/v1.0/servicePrincipals?`$filter=appId eq '$GraphAppId'&`$select=id,oauth2PermissionScopes").value | Select-Object -First 1
 if (-not $graphSp) { throw 'Graph-Service-Principal nicht gefunden.' }
 $graphSpId = $graphSp.id
 $scopeMap = @{}
 foreach ($s in $graphSp.oauth2PermissionScopes) { $scopeMap[$s.value] = $s.id }
 $resourceAccess = @()
 foreach ($p in $perms) {
    if (-not $scopeMap.ContainsKey($p)) { throw "Delegierte Berechtigung '$p' nicht im Graph-SP gefunden." }
    $resourceAccess += @{ id = $scopeMap[$p]; type = 'Scope' }
 }
 $requiredResourceAccess = @(@{ resourceAppId = $GraphAppId; resourceAccess = $resourceAccess })
 if ($EmitManifest) {
    Write-Host "`n--- requiredResourceAccess (Manifest) ---" -ForegroundColor Yellow
    ($requiredResourceAccess | ConvertTo-Json -Depth 6)
    Write-Host "-----------------------------------------`n" -ForegroundColor Yellow
 }
 # --- App anlegen oder aktualisieren -------------------------------------------
 $signInAudience = if ($MultiTenant) { 'AzureADMultipleOrgs' } else { 'AzureADMyOrg' }
 if ($ClientId) {
    Write-Host "[3/6] Bestehende App $ClientId laden..." -ForegroundColor Cyan
    $app = (Invoke-MgGraphRequest -Method GET `
        -Uri "https://graph.microsoft.com/v1.0/applications?`$filter=appId eq '$ClientId'&`$select=id,appId").value | Select-Object -First 1
    if (-not $app) { throw "App mit appId $ClientId nicht gefunden." }
    $objId = $app.id
    $appId = $ClientId
    $patch = @{
        signInAudience          = $signInAudience
        isFallbackPublicClient  = $true
        requiredResourceAccess  = $requiredResourceAccess
        publicClient            = @{ redirectUris = @(
            'https://login.microsoftonline.com/common/oauth2/nativeclient'
            "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
        ) }
    }
    Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/applications/$objId" `
        -Body ($patch | ConvertTo-Json -Depth 8) -ContentType 'application/json' | Out-Null
    Write-Host "      App aktualisiert." -ForegroundColor Green
 } else {
    Write-Host "[3/6] Neue App '$DisplayName' anlegen..." -ForegroundColor Cyan
    # Broker-Redirect-URI braucht die appId -> erst mit nativeclient anlegen,
    # danach die Broker-URI per PATCH ergaenzen.
    $create = @{
        displayName             = $DisplayName
        signInAudience          = $signInAudience
        isFallbackPublicClient  = $true
        requiredResourceAccess  = $requiredResourceAccess
        publicClient            = @{ redirectUris = @('https://login.microsoftonline.com/common/oauth2/nativeclient') }
    }
    $app = Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/applications' `
        -Body ($create | ConvertTo-Json -Depth 8) -ContentType 'application/json'
    $objId = $app.id
    $appId = $app.appId
    $patch = @{ publicClient = @{ redirectUris = @(
        'https://login.microsoftonline.com/common/oauth2/nativeclient'
        "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
    ) } }
    Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/applications/$objId" `
        -Body ($patch | ConvertTo-Json -Depth 6) -ContentType 'application/json' | Out-Null
    Write-Host "      App angelegt: appId $appId" -ForegroundColor Green
 }
 # --- Service-Principal (Enterprise-App) sicherstellen -------------------------
 Write-Host "[4/6] Service-Principal sicherstellen..." -ForegroundColor Cyan
 $sp = (Invoke-MgGraphRequest -Method GET `
    -Uri "https://graph.microsoft.com/v1.0/servicePrincipals?`$filter=appId eq '$appId'&`$select=id").value | Select-Object -First 1
 if (-not $sp) {
    $sp = Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/servicePrincipals' `
        -Body (@{ appId = $appId } | ConvertTo-Json) -ContentType 'application/json'
 }
 $spId = $sp.id
 # --- Optional: Admin-Consent --------------------------------------------------
 Write-Host "[5/6] Admin-Consent..." -ForegroundColor Cyan
 if ($GrantAdminConsent) {
    $scopeString = ($perms -join ' ')
    # Bestehenden Grant fuer (Client -> Graph) suchen und ersetzen, sonst neu.
    $existing = (Invoke-MgGraphRequest -Method GET `
        -Uri "https://graph.microsoft.com/v1.0/oauth2PermissionGrants?`$filter=clientId eq '$spId' and resourceId eq '$graphSpId'").value | Select-Object -First 1
    $grantBody = @{
        clientId    = $spId
        consentType = 'AllPrincipals'
        resourceId  = $graphSpId
        scope       = $scopeString
    }
    if ($existing) {
        Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/oauth2PermissionGrants/$($existing.id)" `
            -Body (@{ scope = $scopeString } | ConvertTo-Json) -ContentType 'application/json' | Out-Null
    } else {
        Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/oauth2PermissionGrants' `
            -Body ($grantBody | ConvertTo-Json) -ContentType 'application/json' | Out-Null
    }
    Write-Host "      Admin-Consent erteilt fuer: $scopeString" -ForegroundColor Green
 } else {
    Write-Host "      uebersprungen (-GrantAdminConsent nicht gesetzt)." -ForegroundColor DarkGray
    Write-Host "      Consent im Portal: Entra -> App-Registrierungen -> $DisplayName -> API-Berechtigungen -> Administratorzustimmung erteilen" -ForegroundColor DarkGray
 }
 # --- Ergebnis -----------------------------------------------------------------
 Write-Host "[6/6] Fertig." -ForegroundColor Cyan
 Write-Host ""
 Write-Host "  Im Intune Manager eintragen:" -ForegroundColor White
 Write-Host "    Tenant ID : $($ctx.TenantId)"
 Write-Host "    Client ID : $appId"
 Write-Host ""
 Write-Host "  Gesetzte delegierte Berechtigungen:" -ForegroundColor White
 $perms | ForEach-Object { Write-Host "    - $_" }
@@ -12,7 +12,7 @@ if (Test-Path "$x64Dotnet\dotnet.exe") {
    $env:DOTNET_ROOT = "C:\Program Files\dotnet"
 }
-$version      = "0.1.25"
+$version      = "0.1.35"
 $src          = "\\Mac\Home\ClaudePRJ\Intune Manager"
 $stage        = "$env:TEMP\IntuneManagerStage"
 $installerDir = "$src\installer"
@@ -33,7 +33,13 @@ function Invoke-MgGraphRequestRetry {
        $Body,
        [string]$ContentType,
        [hashtable]$Headers,
-        [int]$MaxRetries = 3
+        [int]$MaxRetries = 3,
        # Rohes JSON von Graph holen und selbst parsen. Noetig fuer Policy-Exporte:
        # Invoke-MgGraphRequest liefert unter Windows PowerShell 5.1 im Hashtable-
        # Modus Ein-Element-Collections als Skalar (z.B. printerNames), was beim
        # Re-Import 400 "A 'StartArray' node was expected" ausloest. -OutputType Json
        # umgeht das: ConvertFrom-Json bewahrt Arrays.
        [switch]$AsRawJson
    )
    $attempt = 0
    while ($true) {
@@ -42,6 +48,13 @@ function Invoke-MgGraphRequestRetry {
            if ($PSBoundParameters.ContainsKey('Body') -and $null -ne $Body) { $params.Body = $Body }
            if ($ContentType) { $params.ContentType = $ContentType }
            if ($Headers)     { $params.Headers = $Headers }
            if ($AsRawJson) {
                $params.OutputType = 'Json'
                $raw = Invoke-MgGraphRequest @params
                if ([string]::IsNullOrWhiteSpace([string]$raw)) { return $null }
                if ($PSVersionTable.PSVersion.Major -ge 6) { return ($raw | ConvertFrom-Json -AsHashtable) }
                return ($raw | ConvertFrom-Json)
            }
            return Invoke-MgGraphRequest @params
        } catch {
            $msg = $_.Exception.Message
@@ -58,17 +71,26 @@ function Invoke-MgGraphRequestRetry {
                Start-Sleep -Seconds $wait
                continue
            }
            # Nicht-Retry-Fehler: den Graph-Fehler-Body (mit dem eigentlichen Grund)
            # an die Meldung haengen — sonst steht im Log nur "BadRequest".
            $gbody = $null
            try { $gbody = [string]$_.ErrorDetails.Message } catch {}
            if ($gbody) { throw [System.Exception]::new("$msg | Graph: $gbody", $_.Exception) }
            throw
        }
    }
 }
 function Get-GraphPaged {
-    param([Parameter(Mandatory=$true)][string]$Uri)
+    param(
        [Parameter(Mandatory=$true)][string]$Uri,
        # An Invoke-MgGraphRequestRetry durchreichen: bewahrt Arrays fuer Exporte.
        [switch]$AsRawJson
    )
    $results = @()
    $next = $Uri
    do {
-        $response = Invoke-MgGraphRequestRetry -Uri $next -Method GET
+        $response = Invoke-MgGraphRequestRetry -Uri $next -Method GET -AsRawJson:$AsRawJson
        if ($response.value) { $results += $response.value }
        $next = $response.'@odata.nextLink'
    } while ($next)
@@ -376,21 +398,51 @@ function Add-GraphAppAssignment {
    param(
        [string]$AppId,
        [string]$Intent,         # "available" | "required"
-        [string]$GroupId         # GUID oder "ALL_USERS" / "ALL_DEVICES"
+        [string[]]$GroupId       # eine ODER mehrere: GUID(s) und/oder "ALL_USERS"/"ALL_DEVICES"
    )
-    $target = switch ($GroupId) {
+    # WICHTIG: Die /assign-Action ERSETZT die komplette Zuweisungsliste der App.
-        "ALL_USERS"   { @{ "@odata.type" = "#microsoft.graph.allLicensedUsersAssignmentTarget" } }
+    # Ein einzelnes POST wuerde also alle bestehenden Zuweisungen loeschen. Daher:
-        "ALL_DEVICES" { @{ "@odata.type" = "#microsoft.graph.allDevicesAssignmentTarget" } }
+    # bestehende Zuweisungen laden, die neuen mergen (Duplikate ueberspringen) und
-        default       { @{ "@odata.type" = "#microsoft.graph.groupAssignmentTarget"; "groupId" = $GroupId } }
+    # den VOLLEN Satz in EINEM Request schicken. Das haelt mehrere neue Gruppen
    # zusammen (kein Read-after-Write-Rennen) und bewahrt vorhandene Zuweisungen.
    $newTargets = @()
    foreach ($gid in @($GroupId)) {
        if ([string]::IsNullOrWhiteSpace([string]$gid)) { continue }
        $newTargets += switch ([string]$gid) {
            "ALL_USERS"   { @{ "@odata.type" = "#microsoft.graph.allLicensedUsersAssignmentTarget" } }
            "ALL_DEVICES" { @{ "@odata.type" = "#microsoft.graph.allDevicesAssignmentTarget" } }
            default       { @{ "@odata.type" = "#microsoft.graph.groupAssignmentTarget"; "groupId" = [string]$gid } }
        }
    }
-    $body = @{
+
-        mobileAppAssignments = @(@{
+    $existing    = Get-GraphMobileAppAssignments -AppId $AppId
-            "@odata.type" = "#microsoft.graph.mobileAppAssignment"
+    $assignments = @()
    $seen        = @{}   # Schluessel intent|type|groupId -> Duplikate vermeiden
    foreach ($a in $existing) {
        $tgt = $a.target
        if (-not $tgt) { continue }
        $key = ([string]$a.intent) + '|' + ([string]$tgt.'@odata.type') + '|' + ([string]$tgt.groupId)
        $seen[$key] = $true
        $assignments += @{
            '@odata.type' = '#microsoft.graph.mobileAppAssignment'
            intent        = [string]$a.intent
            target        = $tgt          # inkl. evtl. Filter -> unveraendert beibehalten
            settings      = $a.settings   # bestehende Assignment-Settings bewahren
        }
    }
    foreach ($t in $newTargets) {
        $key = $Intent + '|' + [string]$t['@odata.type'] + '|' + [string]$t['groupId']
        if ($seen.ContainsKey($key)) { continue }   # bereits (mit diesem Intent) zugewiesen
        $seen[$key] = $true
        $assignments += @{
            '@odata.type' = '#microsoft.graph.mobileAppAssignment'
            intent        = $Intent
-            target        = $target
+            target        = $t
            settings      = $null
-        })
+        }
    }
    $body = @{ mobileAppAssignments = @($assignments) }
    Invoke-MgGraphRequest -Uri "https://graph.microsoft.com/beta/deviceAppManagement/mobileApps/$AppId/assign" -Method POST -Body $body
 }
@@ -827,16 +879,15 @@ function Remove-GraphMobileApp {
    }
 }
-# Excluded App-Typen aus dem Original-Script
+# Ausgeschlossene App-Typen: iOS/Android bleiben ausgeblendet (dieses Tool ist auf
 # Windows + macOS ausgelegt). macOS-Typen sind bewusst NICHT mehr ausgeschlossen,
 # damit Mac-Apps in Liste/Suche erscheinen.
 $script:ExcludedAppTypes = @(
    '#microsoft.graph.iosLobApp', '#microsoft.graph.iosStoreApp', '#microsoft.graph.iosVppApp',
    '#microsoft.graph.managedIOSLobApp', '#microsoft.graph.managedIOSStoreApp',
    '#microsoft.graph.androidLobApp', '#microsoft.graph.androidStoreApp', '#microsoft.graph.androidForWorkApp',
    '#microsoft.graph.androidManagedStoreApp', '#microsoft.graph.androidManagedStoreWebApp',
-    '#microsoft.graph.managedAndroidLobApp', '#microsoft.graph.managedAndroidStoreApp',
+    '#microsoft.graph.managedAndroidLobApp', '#microsoft.graph.managedAndroidStoreApp'
    '#microsoft.graph.macOSDmgApp', '#microsoft.graph.macOSLobApp', '#microsoft.graph.macOSMicrosoftDefenderApp',
    '#microsoft.graph.macOSMicrosoftEdgeApp', '#microsoft.graph.macOSOfficeSuiteApp', '#microsoft.graph.macOSPkgApp',
    '#microsoft.graph.macOsVppApp'
 )
 function Test-AppTypeAllowed {
@@ -858,6 +909,13 @@ function ConvertTo-AppFriendlyType {
        '#microsoft.graph.windowsAppX'                  { 'APPX' }
        '#microsoft.graph.windowsUniversalAppX'         { 'APPX' }
        '#microsoft.graph.windowsMobileMSI'             { 'MSI' }
        '#microsoft.graph.macOSDmgApp'                  { 'macOS DMG' }
        '#microsoft.graph.macOSPkgApp'                  { 'macOS PKG' }
        '#microsoft.graph.macOSLobApp'                  { 'macOS LOB' }
        '#microsoft.graph.macOSMicrosoftDefenderApp'    { 'macOS Defender' }
        '#microsoft.graph.macOSMicrosoftEdgeApp'        { 'macOS Edge' }
        '#microsoft.graph.macOSOfficeSuiteApp'          { 'macOS M365' }
        '#microsoft.graph.macOsVppApp'                  { 'macOS VPP' }
        default {
            ($Type -replace '#microsoft\.graph\.','')
        }
@@ -44,6 +44,10 @@ function Get-DefaultSettings {
    # Theme) sind branchenuebliche Startpunkte und bleiben besetzt.
    return [pscustomobject]@{
        connection = [pscustomobject]@{
            # Verbindungsmodus:
            #   $false = Single-Tenant (klassisch: die flachen Felder unten)
            #   $true  = Multi-Tenant  (Liste 'tenants' + 'activeTenantId')
            multiTenant = $false
            tenantId   = ""
            clientId   = ""
            clientIdRo = ""
@@ -53,6 +57,10 @@ function Get-DefaultSettings {
            # msgraph-Skill gegen den offiziellen Graph-Permission-Index.
            scopes   = @("Group.ReadWrite.All", "GroupMember.ReadWrite.All", "User.Read.All", "DeviceManagementApps.ReadWrite.All")
            scopesRo = @("Group.Read.All", "GroupMember.Read.All", "User.Read.All", "DeviceManagementApps.Read.All")
            # Multi-Tenant-Profile: je Tenant eigene App-Registrierung(en).
            # [{ id, label, tenantId, clientId, clientIdRo }]. Scopes gelten global.
            tenants        = @()
            activeTenantId = ""
        }
        departments = [pscustomobject]@{
            # Ein oder mehrere Praefixe fuer den Abteilungs-Modus (linke Spalte).
@@ -66,6 +74,13 @@ function Get-DefaultSettings {
            # Explizite Liste der RPA-Gruppen. Leer = RPA-Tab zeigt Hinweis.
            groupNames = @()
        }
        policyBackup = [pscustomobject]@{
            # Lokaler Git-Repo-Ordner fuer Policy-Snapshots. Leer = Funktion aus.
            gitRepoPath = ""
            # Nach dem Commit automatisch 'git push' ausfuehren (nutzt den
            # vorhandenen Git-Credential-Helper; kein Token in der App).
            push = $false
        }
        userSearch = [pscustomobject]@{
            # In welchen Feldern bei der Benutzersuche gesucht wird.
            # Erlaubt: displayName, userPrincipalName, mail, department.
@@ -164,18 +179,27 @@ function Merge-Settings {
 }
 function Get-DepartmentPrefixes {
-    # Zentrale Quelle fuer die Abteilungs-Praefixe. Bevorzugt das neue
+    # Zentrale Quelle fuer die Abteilungs-Praefixe. Multi-Tenant: hat das aktive
-    # 'prefixes'-Array; faellt sonst auf den alten Single-String 'prefix'
+    # Profil eigene 'prefixes', gelten diese (Override); sonst die globalen
-    # zurueck (Rueckwaerts-Kompatibilitaet mit existierenden settings.json).
+    # departments.prefixes / alter Single-String 'prefix' (Rueckwaerts-Kompat).
-    # Liefert immer ein String-Array (getrimmt, dedupliziert, ohne leere
+    # Liefert immer ein String-Array (getrimmt, dedupliziert, ohne leere).
    # Eintraege), ggf. leer wenn nichts konfiguriert ist.
    param($Settings)
    $out = [System.Collections.Generic.List[string]]::new()
-    if ($null -eq $Settings -or $null -eq $Settings.departments) { return ,$out.ToArray() }
+    if ($null -eq $Settings) { return ,$out.ToArray() }
-    $d = $Settings.departments
+
    $candidates = @()
-    if ($d.PSObject.Properties['prefixes']) { $candidates += @($d.prefixes) }
+    # 1) Tenant-Override (aktives Profil)
-    if ($d.PSObject.Properties['prefix']    -and $d.prefix) { $candidates += @([string]$d.prefix) }
+    $prof = Get-ActiveTenantProfile -Settings $Settings
    if ($prof -and $prof.PSObject.Properties['prefixes']) {
        $profPfx = @($prof.prefixes | Where-Object { $_ -and ([string]$_).Trim() })
        if ($profPfx.Count -gt 0) { $candidates = $profPfx }
    }
    # 2) Globale Vorgabe (Fallback, wenn kein Profil-Override)
    if ($candidates.Count -eq 0 -and $null -ne $Settings.departments) {
        $d = $Settings.departments
        if ($d.PSObject.Properties['prefixes']) { $candidates += @($d.prefixes) }
        if ($d.PSObject.Properties['prefix'] -and $d.prefix) { $candidates += @([string]$d.prefix) }
    }
    $seen = @{}
    foreach ($p in $candidates) {
        if ($null -eq $p) { continue }
@@ -189,6 +213,100 @@ function Get-DepartmentPrefixes {
    return $out.ToArray()
 }
 function Get-RpaGroupNames {
    # RPA-Gruppennamen fuer den aktuell aktiven Kontext. Multi-Tenant: aktives
    # Profil kann eigene 'rpaGroups' definieren (Override); sonst global.
    param($Settings)
    if ($null -eq $Settings) { return ,@() }
    $prof = Get-ActiveTenantProfile -Settings $Settings
    if ($prof -and $prof.PSObject.Properties['rpaGroups']) {
        $names = @($prof.rpaGroups | Where-Object { $_ -and ([string]$_).Trim() })
        if ($names.Count -gt 0) { return ,@($names | ForEach-Object { [string]$_ }) }
    }
    if ($Settings.rpa -and $Settings.rpa.PSObject.Properties['groupNames']) {
        return ,@($Settings.rpa.groupNames | Where-Object { $_ -and ([string]$_).Trim() } | ForEach-Object { [string]$_ })
    }
    return ,@()
 }
 function Get-GroupNaming {
    # Naming-Schema (prefix/suffix) fuer required/available. Multi-Tenant: das
    # aktive Profil kann prefix und/oder suffix ueberschreiben (pro Feld: nicht-
    # leerer Profilwert gewinnt, sonst globale Vorgabe, sonst Default).
    param($Settings, [string]$Intent)
    $isAvail   = ($Intent -eq 'available')
    $defPrefix = 'intune-win-app-'
    $defSuffix = if ($isAvail) { '-available' } else { '-required' }
    $globalObj = if ($Settings) { if ($isAvail) { $Settings.availableGroupNaming } else { $Settings.requiredGroupNaming } } else { $null }
    $prefix = if ($globalObj -and $globalObj.prefix) { [string]$globalObj.prefix } else { $defPrefix }
    $suffix = if ($globalObj -and $globalObj.suffix) { [string]$globalObj.suffix } else { $defSuffix }
    $prof = Get-ActiveTenantProfile -Settings $Settings
    if ($prof) {
        $key  = if ($isAvail) { 'availableGroupNaming' } else { 'requiredGroupNaming' }
        $pObj = if ($prof.PSObject.Properties[$key]) { $prof.$key } else { $null }
        if ($pObj) {
            if ($pObj.PSObject.Properties['prefix'] -and ([string]$pObj.prefix).Trim()) { $prefix = [string]$pObj.prefix }
            if ($pObj.PSObject.Properties['suffix'] -and ([string]$pObj.suffix).Trim()) { $suffix = [string]$pObj.suffix }
        }
    }
    return @{ prefix = $prefix; suffix = $suffix }
 }
 function Get-ActiveTenantProfile {
    # Liefert das aktive Tenant-Profil-Objekt (Multi-Tenant) oder $null im
    # Single-Tenant-Modus / wenn keine Profile existieren.
    param($Settings)
    if ($null -eq $Settings) { return $null }
    $c = $Settings.connection
    if ($null -eq $c) { return $null }
    if (-not ($c.PSObject.Properties['multiTenant'] -and [bool]$c.multiTenant)) { return $null }
    $tenants = @()
    if ($c.PSObject.Properties['tenants']) { $tenants = @($c.tenants | Where-Object { $_ }) }
    if ($tenants.Count -eq 0) { return $null }
    $activeId = if ($c.PSObject.Properties['activeTenantId']) { [string]$c.activeTenantId } else { "" }
    $p = $tenants | Where-Object { [string]$_.id -eq $activeId } | Select-Object -First 1
    if (-not $p) { $p = $tenants[0] }
    return $p
 }
 function Get-ActiveConnection {
    # Liefert die aktuell zu verwendenden Verbindungswerte als PSCustomObject
    # { tenantId; clientId; clientIdRo; label }. Im Multi-Tenant-Modus das
    # aktive Profil (activeTenantId, sonst erstes Profil); sonst die flachen
    # connection-Felder (Rueckwaerts-Kompatibilitaet / Single-Tenant).
    param($Settings)
    $c = $Settings.connection
    $empty = [pscustomobject]@{ tenantId = ""; clientId = ""; clientIdRo = ""; label = "" }
    if ($null -eq $c) { return $empty }
    $isMulti = $false
    if ($c.PSObject.Properties['multiTenant']) { $isMulti = [bool]$c.multiTenant }
    if ($isMulti) {
        $tenants = @()
        if ($c.PSObject.Properties['tenants']) { $tenants = @($c.tenants | Where-Object { $_ }) }
        if ($tenants.Count -eq 0) { return $empty }
        $activeId = if ($c.PSObject.Properties['activeTenantId']) { [string]$c.activeTenantId } else { "" }
        $profile  = $tenants | Where-Object { [string]$_.id -eq $activeId } | Select-Object -First 1
        if (-not $profile) { $profile = $tenants[0] }
        return [pscustomobject]@{
            tenantId   = [string]$profile.tenantId
            clientId   = [string]$profile.clientId
            clientIdRo = [string]$profile.clientIdRo
            label      = [string]$profile.label
        }
    }
    return [pscustomobject]@{
        tenantId   = [string]$c.tenantId
        clientId   = [string]$c.clientId
        clientIdRo = [string]$c.clientIdRo
        label      = ""
    }
 }
 function Read-Settings {
    $path = Get-SettingsPath
    $defaults = Get-DefaultSettings
@@ -216,14 +334,39 @@ function Get-SettingsValidationErrors {
    # Rudimentaere Validierung. Schwere Fehler -> Speichern ablehnen.
    param($S)
    $errs = @()
-    if (-not $S.connection.tenantId -or $S.connection.tenantId -notmatch '^[0-9a-fA-F-]{36}$') {
+    $isMulti = $false
-        $errs += "Tenant ID muss eine GUID sein."
+    if ($S.connection.PSObject.Properties['multiTenant']) { $isMulti = [bool]$S.connection.multiTenant }
-    }
+
-    if (-not $S.connection.clientId -or $S.connection.clientId -notmatch '^[0-9a-fA-F-]{36}$') {
+    if ($isMulti) {
-        $errs += "Client ID (Read/Write) muss eine GUID sein."
+        # Multi-Tenant: jedes Profil validieren; mindestens eines erforderlich.
-    }
+        $tenants = @()
-    if ($S.connection.clientIdRo -and $S.connection.clientIdRo.Trim() -and $S.connection.clientIdRo -notmatch '^[0-9a-fA-F-]{36}$') {
+        if ($S.connection.PSObject.Properties['tenants']) { $tenants = @($S.connection.tenants | Where-Object { $_ }) }
-        $errs += "Client ID (Read Only) muss eine GUID sein (oder leer lassen)."
+        if ($tenants.Count -eq 0) {
            $errs += "Multi-Tenant aktiv, aber kein Tenant-Profil angelegt."
        } else {
            $seenIds = @{}
            foreach ($t in $tenants) {
                $lbl = if ($t.label) { [string]$t.label } else { [string]$t.tenantId }
                if (-not $t.id -or [string]::IsNullOrWhiteSpace($t.id)) { $errs += "Tenant-Profil ohne interne id."; continue }
                if ($seenIds.ContainsKey([string]$t.id)) { $errs += "Tenant-Profil-id nicht eindeutig: $($t.id)"; continue }
                $seenIds[[string]$t.id] = $true
                if (-not $t.label -or [string]::IsNullOrWhiteSpace($t.label)) { $errs += "Tenant-Profil '$lbl': Bezeichnung erforderlich." }
                if (-not $t.tenantId -or $t.tenantId -notmatch '^[0-9a-fA-F-]{36}$') { $errs += "Tenant-Profil '$lbl': Tenant ID muss eine GUID sein." }
                if (-not $t.clientId -or $t.clientId -notmatch '^[0-9a-fA-F-]{36}$') { $errs += "Tenant-Profil '$lbl': Client ID (Read/Write) muss eine GUID sein." }
                if ($t.clientIdRo -and ([string]$t.clientIdRo).Trim() -and $t.clientIdRo -notmatch '^[0-9a-fA-F-]{36}$') { $errs += "Tenant-Profil '$lbl': Client ID (Read Only) muss eine GUID sein (oder leer)." }
            }
        }
    } else {
        # Single-Tenant: klassische flache Felder.
        if (-not $S.connection.tenantId -or $S.connection.tenantId -notmatch '^[0-9a-fA-F-]{36}$') {
            $errs += "Tenant ID muss eine GUID sein."
        }
        if (-not $S.connection.clientId -or $S.connection.clientId -notmatch '^[0-9a-fA-F-]{36}$') {
            $errs += "Client ID (Read/Write) muss eine GUID sein."
        }
        if ($S.connection.clientIdRo -and $S.connection.clientIdRo.Trim() -and $S.connection.clientIdRo -notmatch '^[0-9a-fA-F-]{36}$') {
            $errs += "Client ID (Read Only) muss eine GUID sein (oder leer lassen)."
        }
    }
    if (-not $S.connection.scopes -or @($S.connection.scopes).Count -eq 0) {
        $errs += "Mindestens ein Scope erforderlich."
@@ -0,0 +1,299 @@
 # Geraete-Offboarding: ein Geraet ueber Intune, Autopilot und Entra ID hinweg
 # entfernen (Decommissioning). Vor dem Loeschen koennen BitLocker-/FileVault-Keys
 # und LAPS-Passwoerter ausgelesen werden, damit sie nicht verloren gehen.
 #
 # Portiert aus dem "Device Offboarding Manager" (Ugur Koc, MIT-Lizenz) — dort
 # WPF, hier als Web-Endpoints in den Intune Manager integriert.
 #
 # Loeschen ist destruktiv -> im Read-Only-Modus gesperrt, harte Bestaetigung im UI.
 # Generischer Microsoft-Graph-$batch-Helper. Nimmt Sub-Requests
 # ( @{ id; method; url; body?; headers? } ) und liefert eine Map id -> Response.
 function Invoke-GraphBatch {
    param([Parameter(Mandatory=$true)][object[]]$Requests)
    $map = @{}
    for ($i = 0; $i -lt $Requests.Count; $i += 20) {
        $chunk = $Requests[$i .. [Math]::Min($i + 19, $Requests.Count - 1)]
        $body  = @{ requests = @($chunk) } | ConvertTo-Json -Depth 10 -Compress
        $resp  = Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/$batch' -Method POST -Body $body -ContentType 'application/json'
        foreach ($r in @($resp.responses)) { $map[[string]$r.id] = $r }
    }
    return $map
 }
 # Graph-Fehlermeldung aus einer Exception ziehen (Body statt generischer Text).
 function Get-OffboardGraphErr {
    param($ErrorRecord)
    $m = $ErrorRecord.Exception.Message
    try { if ($ErrorRecord.ErrorDetails.Message) { $m = $ErrorRecord.ErrorDetails.Message } } catch {}
    return $m
 }
 # Geraete suchen und ueber die drei Dienste hinweg aufloesen.
 # Query: query=<text>, type=name|serial
 function Search-OffboardDevicesEndpoint {
    param([hashtable]$Query)
    $err = Test-Connected
    if ($err) { return $err }
    $q    = [string]$Query['query']
    $type = [string]$Query['type']
    if ([string]::IsNullOrWhiteSpace($q)) { return @{ __status = 400; error = 'Suchbegriff fehlt' } }
    $qEsc = $q -replace "'", "''"
    # managedDevices unterstuetzt startswith(deviceName) bzw. serialNumber eq.
    $filter = if ($type -eq 'serial') { "serialNumber eq '$qEsc'" } else { "startswith(deviceName,'$qEsc')" }
    $sel    = 'id,deviceName,serialNumber,operatingSystem,osVersion,userPrincipalName,lastSyncDateTime,azureADDeviceId,managedDeviceOwnerType,managementAgent'
    $uri    = "https://graph.microsoft.com/beta/deviceManagement/managedDevices?`$filter=$([Uri]::EscapeDataString($filter))&`$select=$sel&`$top=50&`$orderby=deviceName"
    try {
        $intune = @(Get-GraphPaged -Uri $uri)
    } catch {
        $m = Get-OffboardGraphErr $_
        if ($m -match '403|Forbidden') {
            return @{ __status = 403; error = 'Keine Berechtigung fuer die Geraete-Suche. Scope "DeviceManagementManagedDevices.Read.All" muss in den Read/Write-Scopes stehen UND per Admin-Consent zugestimmt sein (siehe docs/App-Registration.md). Nach dem Ergaenzen: ab- und neu anmelden.' }
        }
        return @{ __status = 500; error = "Graph-Fehler bei der Suche: $m" }
    }
    if ($intune.Count -eq 0) { return @{ items = @(); count = 0 } }
    return @{ items = @(Resolve-OffboardItems -IntuneDevices $intune); count = $intune.Count }
 }
 # Reichert Intune-managedDevice-Objekte mit Entra-Objekt-Id + Autopilot-Id an
 # (per $batch) und liefert die Offboard-Item-Struktur fuers Frontend.
 function Resolve-OffboardItems {
    param([object[]]$IntuneDevices)
    $intune = @($IntuneDevices)
    if ($intune.Count -eq 0) { return @() }
    # Entra-Objekt (fuer Delete) + Autopilot-Identity (fuer Delete) per Batch nachladen.
    $reqs = @()
    $idx  = 0
    foreach ($d in $intune) {
        $aad = [string]$d.azureADDeviceId
        $ser = [string]$d.serialNumber
        if ($aad -and $aad -ne '00000000-0000-0000-0000-000000000000') {
            $f = [Uri]::EscapeDataString("deviceId eq '$aad'")
            $reqs += @{ id = "e$idx"; method = 'GET'; url = "/devices?`$filter=$f&`$select=id,deviceId,displayName,accountEnabled&`$top=1" }
        }
        if ($ser) {
            $sf = [Uri]::EscapeDataString("contains(serialNumber,'$($ser -replace "'","''")')")
            $reqs += @{ id = "a$idx"; method = 'GET'; url = "/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$sf&`$top=1" }
        }
        $idx++
    }
    $batch = if ($reqs.Count -gt 0) { Invoke-GraphBatch -Requests $reqs } else { @{} }
    $items = @()
    $idx   = 0
    foreach ($d in $intune) {
        $ser   = [string]$d.serialNumber
        $entra = $null; $autop = $null; $apNote = ''
        $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
        $ar = $batch["a$idx"]
        if ($ar) {
            $ast = [int]$ar.status
            if ($ast -eq 200) {
                $autop = @($ar.body.value)[0]
                if (-not $autop) { $apNote = 'Kein Autopilot-Treffer fuer Seriennummer' }
            } else {
                $acode = ''; try { $acode = [string]$ar.body.error.code } catch {}
                $apNote = "Autopilot-Lookup fehlgeschlagen: HTTP $ast" + $(if ($acode) { " ($acode)" } else { '' })
                Write-Host "  [OFFBOARD] Autopilot-Lookup ($($d.deviceName), SN=$ser): HTTP $ast $acode" -ForegroundColor DarkYellow
            }
        } elseif (-not $ser) {
            $apNote = 'Keine Seriennummer am Intune-Geraet'
        }
        $items += [pscustomobject]@{
            deviceName      = [string]$d.deviceName
            serialNumber    = [string]$d.serialNumber
            operatingSystem = [string]$d.operatingSystem
            osVersion       = [string]$d.osVersion
            primaryUser     = [string]$d.userPrincipalName
            lastSync        = $d.lastSyncDateTime
            ownership       = [string]$d.managedDeviceOwnerType
            coManaged       = ([string]$d.managementAgent -match 'configurationManager')
            intuneDeviceId  = [string]$d.id
            azureADDeviceId = [string]$d.azureADDeviceId
            entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
            entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
            autopilotId     = if ($autop) { [string]$autop.id } else { '' }
            autopilotNote   = $apNote
            inIntune        = $true
            inEntra         = [bool]$entra
            inAutopilot     = [bool]$autop
        }
        $idx++
    }
    return @($items)
 }
 # Offboard-Items zu einer Liste von Intune-Device-Ids aufloesen (fuer Bulk-
 # Offboarding aus dem Geraete-Tab). Body: { ids: [intuneDeviceId, ...] }
 function Get-OffboardResolveEndpoint {
    param($Body)
    $err = Test-Connected
    if ($err) { return $err }
    $ids = @(Get-PolicyProp $Body 'ids') | Where-Object { $_ }
    if (@($ids).Count -eq 0) { return @{ items = @(); count = 0 } }
    $sel  = 'id,deviceName,serialNumber,operatingSystem,osVersion,userPrincipalName,lastSyncDateTime,azureADDeviceId,managedDeviceOwnerType,managementAgent'
    $reqs = @()
    $i    = 0
    foreach ($id in $ids) {
        $reqs += @{ id = "d$i"; method = 'GET'; url = "/deviceManagement/managedDevices/$([string]$id)?`$select=$sel" }
        $i++
    }
    $batch = Invoke-GraphBatch -Requests $reqs
    $devs  = @()
    foreach ($k in @($batch.Keys)) {
        $r = $batch[$k]
        if ($r -and [int]$r.status -eq 200 -and $r.body) { $devs += $r.body }
    }
    return @{ items = @(Resolve-OffboardItems -IntuneDevices $devs); count = @($devs).Count }
 }
 # Recovery-Keys eines Geraets holen (vor dem Loeschen). Body:
 #   { intuneDeviceId, azureADDeviceId, operatingSystem }
 function Get-OffboardKeysEndpoint {
    param($Body)
    $err = Test-Connected
    if ($err) { return $err }
    $intuneId = [string](Get-PolicyProp $Body 'intuneDeviceId')
    $aad      = [string](Get-PolicyProp $Body 'azureADDeviceId')
    $os       = [string](Get-PolicyProp $Body 'operatingSystem')
    $bitlocker = @()
    $fileVault = $null
    $laps      = $null
    $notes     = @()
    if ($os -eq 'Windows' -and $aad) {
        try {
            $keyIds = @(Get-GraphPaged -Uri "https://graph.microsoft.com/beta/informationProtection/bitlocker/recoveryKeys?`$filter=deviceId eq '$aad'")
            foreach ($k in $keyIds) {
                try {
                    $kd = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/informationProtection/bitlocker/recoveryKeys/$($k.id)?`$select=key,volumeType" -Method GET
                    if ($kd.key) { $bitlocker += @{ volumeType = [string]$kd.volumeType; key = [string]$kd.key } }
                } catch {}
            }
            if ($bitlocker.Count -eq 0) { $notes += 'Kein BitLocker-Key gefunden.' }
        } catch {
            $m = Get-OffboardGraphErr $_
            $notes += if ($m -match '403') { 'BitLocker: Zugriff verweigert (BitlockerKey.Read.All noetig).' } else { "BitLocker: $m" }
        }
    }
    elseif ($os -eq 'macOS' -and $intuneId) {
        try {
            $fv = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices('$intuneId')/getFileVaultKey" -Method GET
            if ($fv.value) { $fileVault = [string]$fv.value } else { $notes += 'Kein FileVault-Key gefunden.' }
        } catch { $notes += "FileVault: $(Get-OffboardGraphErr $_)" }
    }
    # LAPS (jede Plattform, ueber die Entra-Device-Id).
    if ($aad) {
        try {
            $resp  = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/directory/deviceLocalCredentials/$aad`?`$select=credentials" -Method GET
            $creds = @($resp.credentials)
            if ($creds.Count -gt 0) {
                $latest = $creds | Sort-Object -Property backupDateTime -Descending | Select-Object -First 1
                $pw     = [System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String([string]$latest.passwordBase64))
                $laps   = @{ account = [string]$latest.accountName; password = $pw }
            }
        } catch {
            $m = Get-OffboardGraphErr $_
            if ($m -notmatch '404') { $notes += "LAPS: $m" }
        }
    }
    return @{ ok = $true; keys = @{ bitlocker = @($bitlocker); fileVault = $fileVault; laps = $laps; notes = @($notes) } }
 }
 # Offboarding ausfuehren. Body:
 #   devices  = [ { deviceName, intuneDeviceId, entraObjectId, autopilotId } ]
 #   services = { entra: 'delete'|'disable'|'none', intune: bool, autopilot: bool }
 function Invoke-OffboardExecuteEndpoint {
    param($Body)
    $err = Test-Connected
    if ($err) { return $err }
    if ($script:State.ReadOnly) { return @{ __status = 403; error = 'Read-Only-Modus: Offboarding ist deaktiviert.' } }
    $devices = @(Get-PolicyProp $Body 'devices') | Where-Object { $_ }
    $svc     = Get-PolicyProp $Body 'services'
    if (@($devices).Count -eq 0) { return @{ __status = 400; error = 'Keine Geraete uebergeben' } }
    $entraAction = [string](Get-PolicyProp $svc 'entra')
    $doIntune    = [bool](Get-PolicyProp $svc 'intune')
    $doAutopilot = [bool](Get-PolicyProp $svc 'autopilot')
    $reqs = @()
    $meta = @{}
    $n    = 0
    foreach ($d in $devices) {
        $name = [string](Get-PolicyProp $d 'deviceName')
        $iid  = [string](Get-PolicyProp $d 'intuneDeviceId')
        $eid  = [string](Get-PolicyProp $d 'entraObjectId')
        $aid  = [string](Get-PolicyProp $d 'autopilotId')
        if ($entraAction -eq 'delete' -and $eid) {
            $rid = "r$n"; $reqs += @{ id = $rid; method = 'DELETE'; url = "/devices/$eid" }
            $meta[$rid] = @{ name = $name; svc = 'Entra ID'; action = 'geloescht' }; $n++
        } elseif ($entraAction -eq 'disable' -and $eid) {
            $rid = "r$n"; $reqs += @{ id = $rid; method = 'PATCH'; url = "/devices/$eid"; body = @{ accountEnabled = $false }; headers = @{ 'Content-Type' = 'application/json' } }
            $meta[$rid] = @{ name = $name; svc = 'Entra ID'; action = 'deaktiviert' }; $n++
        }
        if ($doIntune -and $iid) {
            $rid = "r$n"; $reqs += @{ id = $rid; method = 'DELETE'; url = "/deviceManagement/managedDevices/$iid" }
            $meta[$rid] = @{ name = $name; svc = 'Intune'; action = 'geloescht' }; $n++
        }
        if ($doAutopilot -and $aid) {
            $rid = "r$n"; $reqs += @{ id = $rid; method = 'DELETE'; url = "/deviceManagement/windowsAutopilotDeviceIdentities/$aid" }
            $meta[$rid] = @{ name = $name; svc = 'Autopilot'; action = 'geloescht' }; $n++
        }
    }
    if ($reqs.Count -eq 0) { return @{ __status = 400; error = 'Keine ausfuehrbaren Aktionen (fehlende IDs oder nichts ausgewaehlt).' } }
    Write-Host "[OFFBOARD] Fuehre $($reqs.Count) Aktion(en) fuer $(@($devices).Count) Geraet(e) aus..." -ForegroundColor Yellow
    $batch = Invoke-GraphBatch -Requests $reqs
    $results = @()
    foreach ($rid in ($meta.Keys | Sort-Object { [int]($_ -replace '\D','') })) {
        $m      = $meta[$rid]
        $r      = $batch[$rid]
        $status = if ($r) { [int]$r.status } else { 0 }
        $ok     = $status -in @(200, 204)
        $errMsg = ''
        if (-not $ok) {
            $code = ''
            try { $code = [string]$r.body.error.code } catch {}
            if ($status -eq 403 -and $code -match 'multipleAdminApproval|protectedOperation') {
                $errMsg = 'Erfordert Multi-Admin-Approval'
            } elseif ($status -eq 403) {
                $errMsg = "403 - fehlende Rolle/Berechtigung fuer $($m.svc)"
            } elseif ($status -eq 0) {
                $errMsg = 'Keine Antwort'
            } else {
                $errMsg = "HTTP $status" + $(if ($code) { " ($code)" } else { '' })
            }
        }
        $results += [pscustomobject]@{
            deviceName = $m.name; service = $m.svc; action = $m.action
            success = $ok; error = $errMsg
        }
    }
    $okCount  = @($results | Where-Object { $_.success }).Count
    $errCount = $results.Count - $okCount
    Write-Host "  -> $okCount/$($results.Count) erfolgreich" -ForegroundColor DarkGray
    # HTML-Report erzeugen (pro Geraet die ausgefuehrten Loeschungen) und verlinken.
    $reportUrl = ""
    try {
        $reportFile = New-OffboardHtmlReport -Devices $devices -Results $results -Success $okCount -Errors $errCount -Total $results.Count -EntraAction $entraAction -DoIntune $doIntune -DoAutopilot $doAutopilot
        if ($reportFile) { $reportUrl = "/reports/" + (Split-Path $reportFile -Leaf) }
        Write-Host "[OFFBOARD] HTML-Report: $reportFile" -ForegroundColor DarkGray
    } catch {
        Write-Host "[OFFBOARD] Report-Erstellung fehlgeschlagen: $($_.Exception.Message)" -ForegroundColor Red
    }
    return @{ ok = $true; successCount = $okCount; total = $results.Count; results = @($results); reportUrl = [string]$reportUrl }
 }
@@ -1,7 +1,7 @@
 # Import/Export von Intune-Policies.
-# Unterstuetzte Typen: Compliance Policies, Configuration Profiles (Templates)
+# Unterstuetzte Typen: Compliance Policies, Configuration Profiles (Templates),
-# und Settings Catalog. Nutzt die bestehende Microsoft-Graph-Verbindung
+# Settings Catalog und Administrative Vorlagen (ADMX / groupPolicyConfigurations).
-# (Connect-MgGraph via Api.ps1).
+# Nutzt die bestehende Microsoft-Graph-Verbindung (Connect-MgGraph via Api.ps1).
 #
 # Zwei Export-Wege, beide aus derselben Aktion:
 #   1. Browser-Download  — der Endpoint liefert die Export-Objekte im Response,
@@ -73,6 +73,20 @@ function Get-PolicyTypeConfig {
                Label        = 'Settings Catalog'
            }
        }
        'administrativetemplate' {
            return @{
                Key          = 'administrativetemplate'
                Collection   = 'groupPolicyConfigurations'
                NameField    = 'displayName'
                # Sonderfall: die konfigurierten Werte liegen nicht inline in der
                # Policy, sondern in der definitionValues-Subcollection. Deshalb
                # kein simples $expand -> eigene Behandlung in Get-GraphPolicyDetail.
                ExportExpand = $null
                ExportType   = 'AdministrativeTemplate'
                FilePrefix   = 'AdminTemplate'
                Label        = 'Administrative Vorlage'
            }
        }
        default { return $null }
    }
 }
@@ -80,7 +94,7 @@ function Get-PolicyTypeConfig {
 # ExportType (aus Datei/Envelope) -> Typ-Config. Reverse-Lookup fuer den Import.
 function Get-PolicyTypeConfigByExportType {
    param([string]$ExportType)
-    foreach ($key in @('compliance','configuration','settingscatalog')) {
+    foreach ($key in @('compliance','configuration','settingscatalog','administrativetemplate')) {
        $cfg = Get-PolicyTypeConfig $key
        if ($cfg.ExportType -eq $ExportType) { return $cfg }
    }
@@ -105,6 +119,15 @@ function Get-PolicyProp {
    return $null
 }
 # Property setzen — Hashtable ODER PSCustomObject (fuer Import-Umbenennung).
 function Set-PolicyProp {
    param($Obj, [string]$Name, $Value)
    if ($null -eq $Obj) { return }
    if ($Obj -is [System.Collections.IDictionary]) { $Obj[$Name] = $Value; return }
    if ($Obj.PSObject.Properties[$Name]) { $Obj.$Name = $Value }
    else { $Obj | Add-Member -NotePropertyName $Name -NotePropertyValue $Value -Force }
 }
 # Grobe Plattform-Bezeichnung fuer die Listenanzeige.
 function Get-PolicyPlatformLabel {
    param($Raw, [string]$Type)
@@ -112,6 +135,8 @@ function Get-PolicyPlatformLabel {
        $p = Get-PolicyProp $Raw 'platforms'
        return [string]$p
    }
    # Administrative Vorlagen (groupPolicyConfigurations) sind reine Windows-Policies.
    if (([string]$Type).ToLower() -eq 'administrativetemplate') { return 'Windows' }
    $t = [string](Get-PolicyProp $Raw '@odata.type')
    switch -Regex ($t) {
        'windows'   { return 'Windows' }
@@ -158,9 +183,23 @@ function Get-GraphPolicyDetail {
    )
    $cfg = Get-PolicyTypeConfig $Type
    if (-not $cfg) { throw "Unbekannter Policy-Typ: $Type" }
    # Administrative Vorlagen: Basis-Objekt holen und die konfigurierten Werte
    # (definitionValues inkl. Definition + Presentation-Werten) separat expandieren.
    # -AsRawJson durchgaengig: bewahrt Ein-Element-Collections als Array (PS-5.1-
    # Hashtable-Modus wuerde sie skalarisieren -> 400 beim Re-Import).
    if ($cfg.Key -eq 'administrativetemplate') {
        $base = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id" -Method GET -AsRawJson
        $dvUri = "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id/definitionValues?`$expand=definition(`$select=id,classType,displayName,policyType,version),presentationValues(`$expand=presentation)"
        $dvs = @(Get-GraphPaged -Uri $dvUri -AsRawJson)
        if ($base -is [System.Collections.IDictionary]) { $base['definitionValues'] = $dvs }
        else { $base | Add-Member -NotePropertyName definitionValues -NotePropertyValue $dvs -Force }
        return $base
    }
    $uri = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$Id"
    if ($cfg.ExportExpand) { $uri += "?`$expand=$($cfg.ExportExpand)" }
-    return Invoke-MgGraphRequestRetry -Uri $uri -Method GET
+    return Invoke-MgGraphRequestRetry -Uri $uri -Method GET -AsRawJson
 }
 # PSCustomObject/Hashtable -> bereinigte Hashtable ohne Read-Only-Felder.
@@ -183,6 +222,107 @@ function ConvertTo-ImportBody {
    return $body
 }
 # Settings-Catalog-Payloads haben verschachtelte Properties, die laut Graph-
 # Schema Arrays sein MUESSEN (settings, children, *SettingCollectionValue, values).
 # Ein JSON-Roundtrip unter Windows PowerShell 5.1 entpackt Ein-Element-Arrays zu
 # Einzelobjekten -> Graph antwortet mit 400 "... does not match schema". Diese
 # Funktion baut den Baum rekursiv neu auf und packt betroffene Felder wieder in
 # Arrays. Idempotent: bereits korrekte Arrays bleiben unveraendert.
 function Repair-SettingsCatalogArrays {
    param($Node)
    $arrayKeys = @('settings','children','groupSettingCollectionValue','simpleSettingCollectionValue','choiceSettingCollectionValue','values')
    # *TemplateReference-Keys tragen ein Objekt ODER null. Ein alter Export mit zu
    # geringer ConvertTo-Json-Tiefe hat solche (tief liegenden) Objekte zu ".ToString()"
    # stringifiziert -> "System.Collections.Hashtable". Graph lehnt das ab
    # ('Property settingValueTemplateReference ... does not match schema'). Der bloße
    # String ist eindeutig korrupt und nicht rekonstruierbar -> auf null setzen; die
    # (optionale) Template-Bindung entfaellt, die eigentlichen Werte bleiben erhalten.
    $refKeys = @('settingInstanceTemplateReference','settingValueTemplateReference')
    # Array-Property normalisieren — WICHTIG inline (Zuweisung, KEIN Funktions-
    # Return): ein leeres Array aus einer Funktion zurueckzugeben entpackt PS zu
    # $null, was zu 'children: {}' statt '[]' fuehrt. Als Zuweisung bleibt @() ein @().
    #   $null        -> @()      (Graph-Schema: Collections sind Nullable=False)
    #   Einzelobjekt -> @(obj)   (Ein-Element-Array wurde vom Roundtrip skalarisiert)
    #   leere/Whitespace-STRING-Elemente entfernen: ein PS-JSON-Roundtrip macht aus
    #   einer leeren Collection [] teils ""/[""] -> Graph lehnt das als
    #   'Property children ... does not match schema' ab. Diese Keys tragen nie bare
    #   Strings -> gefahrlos filtern; wird die Collection dadurch leer, bleibt [].
    if ($Node -is [System.Collections.IDictionary]) {
        $out = [ordered]@{}
        foreach ($k in @($Node.Keys)) {
            $fixed = Repair-SettingsCatalogArrays $Node[$k]
            if ($k -in $arrayKeys) {
                if ($null -eq $fixed) { $fixed = @() }
                elseif (-not ($fixed -is [System.Collections.IList])) { $fixed = @($fixed) }
                $fixed = @($fixed | Where-Object { -not (($_ -is [string]) -and [string]::IsNullOrWhiteSpace($_)) })
            }
            elseif ($k -in $refKeys -and ($fixed -is [string])) { $fixed = $null }
            $out[$k] = $fixed
        }
        return $out
    }
    if ($Node -is [System.Management.Automation.PSCustomObject]) {
        $out = [ordered]@{}
        foreach ($p in $Node.PSObject.Properties) {
            $fixed = Repair-SettingsCatalogArrays $p.Value
            if ($p.Name -in $arrayKeys) {
                if ($null -eq $fixed) { $fixed = @() }
                elseif (-not ($fixed -is [System.Collections.IList])) { $fixed = @($fixed) }
                $fixed = @($fixed | Where-Object { -not (($_ -is [string]) -and [string]::IsNullOrWhiteSpace($_)) })
            }
            elseif ($p.Name -in $refKeys -and ($fixed -is [string])) { $fixed = $null }
            $out[$p.Name] = $fixed
        }
        return $out
    }
    if (($Node -is [System.Collections.IEnumerable]) -and -not ($Node -is [string])) {
        # Kein Komma-Operator: ein Ein-Element-Array wird beim Return zwar zum
        # Skalar entpackt, aber jede Array-Property wird vom Parent ohnehin wieder
        # in @(...) gewrappt. Ein fuehrendes ',' wuerde das Top-Level-settings-
        # Array faelschlich in ein Extra-Array verschachteln.
        return @($Node | ForEach-Object { Repair-SettingsCatalogArrays $_ })
    }
    return $Node
 }
 # Entfernt rekursiv alle Properties mit $null-Wert. Configuration Profiles
 # exportieren nicht genutzte Collection-Properties als null; beim POST lehnt Graph
 # null fuer 'Collection(...)[Nullable=False]' ab (400 ModelValidationFailure, z.B.
 # 'defenderAdditionalGuardedFolders'). Weggelassene Properties belegt Graph mit
 # Defaults -> sicheres Strippen. Array-Typen werden am Parent wieder in @()
 # gewrappt, damit ein Ein-Element-Array beim Return nicht zum Skalar entpackt wird.
 function Remove-PolicyNullProps {
    param($Node)
    if ($Node -is [System.Collections.IDictionary]) {
        $out = @{}
        foreach ($k in @($Node.Keys)) {
            $v = $Node[$k]
            if ($null -eq $v) { continue }
            $fixed = Remove-PolicyNullProps $v
            if (($v -is [System.Collections.IEnumerable]) -and -not ($v -is [string]) -and -not ($v -is [System.Collections.IDictionary])) {
                $out[$k] = @($fixed)
            } else { $out[$k] = $fixed }
        }
        return $out
    }
    if ($Node -is [System.Management.Automation.PSCustomObject]) {
        $out = @{}
        foreach ($p in $Node.PSObject.Properties) {
            if ($null -eq $p.Value) { continue }
            $fixed = Remove-PolicyNullProps $p.Value
            if (($p.Value -is [System.Collections.IEnumerable]) -and -not ($p.Value -is [string]) -and -not ($p.Value -is [System.Collections.IDictionary])) {
                $out[$p.Name] = @($fixed)
            } else { $out[$p.Name] = $fixed }
        }
        return $out
    }
    if (($Node -is [System.Collections.IEnumerable]) -and -not ($Node -is [string])) {
        return @($Node | ForEach-Object { Remove-PolicyNullProps $_ })
    }
    return $Node
 }
 function New-DefaultComplianceScheduledActions {
    # Compliance Policies verlangen beim Anlegen mindestens einen
    # scheduledActionsForRule-Block, sonst antwortet Graph mit 400.
@@ -236,6 +376,8 @@ function Import-GraphConfigurationProfile {
    if (-not $body['@odata.type']) {
        throw 'Configuration Profile benoetigt @odata.type fuer den Import.'
    }
    # null-Properties strippen: Graph lehnt null fuer nicht-nullbare Collections ab.
    $body = Remove-PolicyNullProps $body
    $json = $body | ConvertTo-Json -Depth 50
    return Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations' -Method POST -Body $json -ContentType 'application/json'
 }
@@ -247,18 +389,117 @@ function Import-GraphSettingsCatalogPolicy {
        throw 'Settings-Catalog-Policy benoetigt ein "name"-Feld fuer den Import.'
    }
    # 'settings' MUSS mitgeschickt werden — kommt aus dem $expand=settings-Export.
-    if (-not $body.ContainsKey('settings')) { $body['settings'] = @() }
+    # Zusaetzlich Array-Properties reparieren (PS-5.1-Roundtrip-Schaden), sonst
    # 400 "Property children ... does not match schema".
    if ($body.ContainsKey('settings') -and $null -ne $body['settings']) {
        $body['settings'] = @(Repair-SettingsCatalogArrays $body['settings'])
        # Beim GET liefert Graph die Setting-Wrapper ohne '@odata.type' und mit
        # read-only 'id'. Der POST verlangt aber den Wrapper-Typ; die 'id' muss
        # weg -> sonst 400 "Property settings ... does not match schema".
        foreach ($s in $body['settings']) {
            if ($s -is [System.Collections.IDictionary]) {
                if ($s.Contains('id')) { [void]$s.Remove('id') }
                if (-not $s.Contains('@odata.type')) {
                    $s['@odata.type'] = '#microsoft.graph.deviceManagementConfigurationSetting'
                }
            }
        }
    } else {
        $body['settings'] = @()
    }
    $json = $body | ConvertTo-Json -Depth 50
    # Korruptions-Check: enthaelt der Payload noch stringifizierte .NET-Objekte
    # ("System.Collections.Hashtable" / "System.Object[]"), stammt die Quelldatei aus
    # einem alten Export mit zu geringer ConvertTo-Json-Tiefe. *TemplateReference
    # (optionale Metadaten) wurde oben bereits gerettet; verbleibende Marker sitzen in
    # WERT-tragenden Feldern (z.B. groupSettingCollectionValue) -> echte Konfiguration
    # ist verloren und nicht rekonstruierbar. Klar abbrechen statt kaputt zu importieren.
    if ($json -match 'System\.Collections\.Hashtable|System\.Object\[\]') {
        throw 'Quelldatei beschaedigt: Teile der Konfiguration wurden von einem alten Export (zu geringe JSON-Tiefe) zu ".ToString()" verstuemmelt und sind nicht wiederherstellbar. Bitte die Policy neu aus Graph exportieren und die frische Datei importieren.'
    }
    return Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/configurationPolicies' -Method POST -Body $json -ContentType 'application/json'
 }
 function Import-GraphAdministrativeTemplate {
    param([Parameter(Mandatory=$true)]$Policy)
    $displayName = [string](Get-PolicyProp $Policy 'displayName')
    if (-not $displayName) { throw 'Administrative Vorlage benoetigt "displayName" fuer den Import.' }
    $defRoot = 'https://graph.microsoft.com/beta/deviceManagement/groupPolicyDefinitions'
    $cfgRoot = 'https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations'
    # 1) Leere Konfigurations-Huelle anlegen (definitionValues folgen einzeln).
    $shell = @{
        displayName     = $displayName
        description     = [string](Get-PolicyProp $Policy 'description')
        roleScopeTagIds = @('0')
    }
    $created = Invoke-MgGraphRequestRetry -Uri $cfgRoot -Method POST -Body ($shell | ConvertTo-Json -Depth 10) -ContentType 'application/json'
    $newId   = [string](Get-PolicyProp $created 'id')
    if (-not $newId) { throw 'Anlegen der Administrative-Vorlage-Huelle lieferte keine Id.' }
    # 2) Jeden definitionValue einzeln anhaengen. Definition + Presentations werden
    #    per @odata.bind referenziert — die IDs eingebauter ADMX-Vorlagen sind
    #    tenantuebergreifend identisch, daher tenantunabhaengig einsetzbar.
    $errors = @()
    foreach ($dv in @(Get-PolicyProp $Policy 'definitionValues')) {
        if (-not $dv) { continue }
        $def   = Get-PolicyProp $dv 'definition'
        $defId = [string](Get-PolicyProp $def 'id')
        if (-not $defId) {
            $errors += 'definitionValue ohne Definition-Id uebersprungen'
            continue
        }
        $presVals = @()
        foreach ($pv in @(Get-PolicyProp $dv 'presentationValues')) {
            if (-not $pv) { continue }
            $pres   = Get-PolicyProp $pv 'presentation'
            $presId = [string](Get-PolicyProp $pres 'id')
            $entry  = [ordered]@{
                '@odata.type'             = [string](Get-PolicyProp $pv '@odata.type')
                'presentation@odata.bind' = "$defRoot('$defId')/presentations('$presId')"
            }
            # Je nach Presentation-Typ traegt der Wert in 'value' ODER 'values'.
            foreach ($vk in @('value','values')) {
                $vv = Get-PolicyProp $pv $vk
                if ($null -ne $vv) { $entry[$vk] = $vv }
            }
            $presVals += $entry
        }
        $body = [ordered]@{
            enabled                 = [bool](Get-PolicyProp $dv 'enabled')
            'definition@odata.bind' = "$defRoot('$defId')"
            presentationValues      = @($presVals)
        }
        try {
            Invoke-MgGraphRequestRetry -Uri "$cfgRoot/$newId/definitionValues" -Method POST -Body ($body | ConvertTo-Json -Depth 50) -ContentType 'application/json' | Out-Null
        } catch {
            $m = $_.Exception.Message
            try { if ($_.ErrorDetails.Message) { $m = $_.ErrorDetails.Message } } catch {}
            $dn = [string](Get-PolicyProp $def 'displayName'); if (-not $dn) { $dn = $defId }
            $errors += "${dn}: $m"
        }
    }
    if ($errors.Count -gt 0) {
        throw ("Huelle angelegt (Id $newId), aber $($errors.Count) Einstellung(en) fehlgeschlagen: " + ($errors -join ' | '))
    }
    return $created
 }
 # Dispatcht anhand des ExportType auf den passenden Import.
 function Import-GraphPolicyByExportType {
    param([string]$ExportType, $Policy)
    switch ($ExportType) {
-        'CompliancePolicy'     { return Import-GraphCompliancePolicy -Policy $Policy }
+        'CompliancePolicy'       { return Import-GraphCompliancePolicy -Policy $Policy }
-        'ConfigurationProfile' { return Import-GraphConfigurationProfile -Policy $Policy }
+        'ConfigurationProfile'   { return Import-GraphConfigurationProfile -Policy $Policy }
-        'SettingsCatalog'      { return Import-GraphSettingsCatalogPolicy -Policy $Policy }
+        'SettingsCatalog'        { return Import-GraphSettingsCatalogPolicy -Policy $Policy }
        'AdministrativeTemplate' { return Import-GraphAdministrativeTemplate -Policy $Policy }
        default { throw "Unbekannter exportType: $ExportType" }
    }
 }
@@ -288,6 +529,11 @@ function Get-SettingsCatalogPoliciesEndpoint {
    return @{ ok = $true; items = @(Get-GraphPolicyList -Type 'settingscatalog') }
 }
 function Get-AdministrativeTemplatesEndpoint {
    try { Assert-GraphConnected } catch { return @{ __status = 401; error = 'Nicht mit Microsoft Graph verbunden' } }
    return @{ ok = $true; items = @(Get-GraphPolicyList -Type 'administrativetemplate') }
 }
 # Export: liefert die Export-Objekte im Response (Browser-Download) UND legt sie
 # zusaetzlich als JSON im Server-Archiv ab. Body: { type, ids }.
 function Export-PoliciesEndpoint {
@@ -368,10 +614,14 @@ function Import-PoliciesEndpoint {
    param($Body)
    try { Assert-GraphConnected } catch { return @{ __status = 401; error = 'Nicht mit Microsoft Graph verbunden' } }
-    $uploaded = @(Get-PolicyProp $Body 'policies')
+    # @(Get-PolicyProp ...) auf ein fehlendes Feld liefert $null -> @($null) hat
-    $fileNames = @(Get-PolicyProp $Body 'fileNames')
+    # Count 1 (ein Null-Element), kein leeres Array. Ohne Filter wuerde die
    # Archiv-Schleife einmal mit $fileName = $null laufen und auf das Verzeichnis
    # selbst zugreifen (DirectoryNotFoundException). Daher Null/Leer rausfiltern.
    $uploaded  = @(Get-PolicyProp $Body 'policies')  | Where-Object { $_ }
    $fileNames = @(Get-PolicyProp $Body 'fileNames') | Where-Object { $_ }
-    if ($uploaded.Count -eq 0 -and $fileNames.Count -eq 0) {
+    if (@($uploaded).Count -eq 0 -and @($fileNames).Count -eq 0) {
        return @{ __status = 400; error = 'Keine Policies zum Importieren uebergeben' }
    }
@@ -380,7 +630,10 @@ function Import-PoliciesEndpoint {
    # 1) Hochgeladene Envelopes
    foreach ($env in $uploaded) {
        if (-not $env) { continue }
        # Envelope-Formate akzeptieren beide Typ-Felder: 'exportType' (Export-
        # Download) und 'policyType' (Git-Snapshot).
        $exportType = [string](Get-PolicyProp $env 'exportType')
        if (-not $exportType) { $exportType = [string](Get-PolicyProp $env 'policyType') }
        $policy     = Get-PolicyProp $env 'policy'
        $policyName = Get-PolicyProp $env 'policyName'
        if (-not $policyName) { $policyName = Get-PolicyDisplayName $policy }
@@ -388,6 +641,14 @@ function Import-PoliciesEndpoint {
            $results += @{ policyName = [string]$policyName; success = $false; error = 'Envelope ohne "policy"-Feld' }
            continue
        }
        # Optionale Umbenennung: das richtige Namensfeld je Typ setzen.
        $newName = [string](Get-PolicyProp $env 'newName')
        if ($newName -and $newName.Trim()) {
            $cfg = Get-PolicyTypeConfigByExportType $exportType
            $nameField = if ($cfg) { $cfg.NameField } else { 'displayName' }
            Set-PolicyProp $policy $nameField $newName.Trim()
            $policyName = $newName.Trim()
        }
        try {
            $imported = Import-GraphPolicyByExportType -ExportType $exportType -Policy $policy
            $results += @{ policyName = [string]$policyName; exportType = $exportType; success = $true; newId = [string](Get-PolicyProp $imported 'id') }
@@ -401,9 +662,10 @@ function Import-PoliciesEndpoint {
    # 2) Dateien aus dem Server-Archiv
    $exportDir = Get-PolicyExportDir
    foreach ($fileName in $fileNames) {
-        $safe = ($fileName -replace '[\\/]', '')
+        if ([string]::IsNullOrWhiteSpace([string]$fileName)) { continue }
        $safe = ([string]$fileName -replace '[\\/]', '')
        $filePath = Join-Path $exportDir $safe
-        if (-not (Test-Path $filePath)) {
+        if ([string]::IsNullOrWhiteSpace($safe) -or -not (Test-Path $filePath -PathType Leaf)) {
            $results += @{ fileName = $fileName; success = $false; error = 'Datei nicht gefunden' }
            continue
        }
@@ -411,6 +673,7 @@ function Import-PoliciesEndpoint {
        try {
            $content    = Get-Content $filePath -Raw | ConvertFrom-Json
            $exportType = [string](Get-PolicyProp $content 'exportType')
            if (-not $exportType) { $exportType = [string](Get-PolicyProp $content 'policyType') }
            $policy     = Get-PolicyProp $content 'policy'
            $policyName = Get-PolicyDisplayName $policy
            $imported   = Import-GraphPolicyByExportType -ExportType $exportType -Policy $policy
@@ -425,3 +688,353 @@ function Import-PoliciesEndpoint {
    $ok = @($results | Where-Object { $_.success }).Count
    return @{ ok = $true; importedCount = $ok; results = @($results) }
 }
 # Weist importierten Policies Gruppen zu (Include + Exclude). Body:
 #   items = [ { exportType, id, policyName, include:[groupId], exclude:[groupId] } ]
 # Nutzt die typ-spezifische /assign-Action. Zuweisungen sind pro Policy.
 function Invoke-PolicyAssignEndpoint {
    param($Body)
    try { Assert-GraphConnected } catch { return @{ __status = 401; error = 'Nicht mit Microsoft Graph verbunden' } }
    $items = @(Get-PolicyProp $Body 'items') | Where-Object { $_ }
    if (@($items).Count -eq 0) { return @{ __status = 400; error = 'Keine Zuweisungen uebergeben' } }
    $results = @()
    foreach ($it in $items) {
        $exportType = [string](Get-PolicyProp $it 'exportType')
        $id         = [string](Get-PolicyProp $it 'id')
        $name       = [string](Get-PolicyProp $it 'policyName')
        $include    = @(Get-PolicyProp $it 'include') | Where-Object { $_ }
        $exclude    = @(Get-PolicyProp $it 'exclude') | Where-Object { $_ }
        $cfg        = Get-PolicyTypeConfigByExportType $exportType
        if (-not $cfg) { $results += @{ id = $id; policyName = $name; success = $false; error = "Unbekannter exportType: $exportType" }; continue }
        if (-not $id)  { $results += @{ policyName = $name; success = $false; error = 'Policy-Id fehlt' }; continue }
        if (@($include).Count -eq 0 -and @($exclude).Count -eq 0) {
            $results += @{ id = $id; policyName = $name; success = $true; skipped = $true }
            continue
        }
        $assignments = @()
        foreach ($g in $include) {
            $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.groupAssignmentTarget'; groupId = [string]$g } }
        }
        foreach ($g in $exclude) {
            $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.exclusionGroupAssignmentTarget'; groupId = [string]$g } }
        }
        $json = @{ assignments = @($assignments) } | ConvertTo-Json -Depth 10
        $uri  = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$id/assign"
        try {
            Invoke-MgGraphRequestRetry -Uri $uri -Method POST -Body $json -ContentType 'application/json' | Out-Null
            $results += @{ id = $id; policyName = $name; success = $true; includeCount = @($include).Count; excludeCount = @($exclude).Count }
        } catch {
            $m = $_.Exception.Message
            try { if ($_.ErrorDetails.Message) { $m = $_.ErrorDetails.Message } } catch {}
            $results += @{ id = $id; policyName = $name; success = $false; error = $m }
        }
    }
    $ok = @($results | Where-Object { $_.success -and -not $_.skipped }).Count
    return @{ ok = $true; assignedCount = $ok; results = @($results) }
 }
 # ============================================================
 # Settings-Catalog-Policies zu EINER neuen Policy zusammenfuehren
 # ============================================================
 # settingDefinitionId eines Settings-Elements (Wrapper { settingInstance, id }).
 function Get-SettingDefinitionId {
    param($SettingElement)
    $si = Get-PolicyProp $SettingElement 'settingInstance'
    if (-not $si) { $si = $SettingElement }
    return [string](Get-PolicyProp $si 'settingDefinitionId')
 }
 # Kanonische, stabil sortierte JSON-Darstellung der settingInstance -> Wert-Vergleich
 # fuer die Konflikt-Erkennung (gleiche Definition, unterschiedlicher Wert = Konflikt).
 function Get-SettingCanonicalJson {
    param($SettingElement)
    $si = Get-PolicyProp $SettingElement 'settingInstance'
    if (-not $si) { $si = $SettingElement }
    return ((ConvertTo-StableObject $si) | ConvertTo-Json -Depth 50 -Compress)
 }
 # Body: { ids:[...], mode:"preview"|"create", name?, description?, resolutions?:{ <defId>:<sourceId> } }
 # Nur Settings Catalog. Fuehrt die 'settings' mehrerer Policies zu einer neuen zusammen.
 # Gleiche settingDefinitionId + gleicher Wert -> einmal uebernommen. Gleiche Definition,
 # anderer Wert -> Konflikt: Default gewinnt die zuerst gewaehlte Policy, per 'resolutions'
 # ueberschreibbar. Import erfolgt als Neuanlage (nie Ueberschreiben).
 function Invoke-PolicyConsolidateEndpoint {
    param($Body)
    try { Assert-GraphConnected } catch { return @{ __status = 401; error = 'Nicht mit Microsoft Graph verbunden' } }
    $ids  = @(Get-PolicyProp $Body 'ids') | Where-Object { $_ }
    if (@($ids).Count -lt 2) { return @{ __status = 400; error = 'Bitte mindestens zwei Settings-Catalog-Policies auswaehlen.' } }
    $mode        = [string](Get-PolicyProp $Body 'mode'); if (-not $mode) { $mode = 'preview' }
    $resolutions = Get-PolicyProp $Body 'resolutions'
    # Details laden (Reihenfolge = Auswahlreihenfolge = Default-Konfliktgewinner)
    $sources = @()
    foreach ($id in $ids) {
        $detail = $null
        try { $detail = Get-GraphPolicyDetail -Type 'settingscatalog' -Id ([string]$id) } catch {}
        if (-not $detail) { return @{ __status = 400; error = "Policy $id konnte nicht geladen werden." } }
        $sources += @{
            id           = [string]$id
            name         = [string](Get-PolicyProp $detail 'name')
            platforms    = [string](Get-PolicyProp $detail 'platforms')
            technologies = [string](Get-PolicyProp $detail 'technologies')
            settings     = @(Get-PolicyProp $detail 'settings')
        }
    }
    # Plattform muss uebereinstimmen - sonst kein sinnvoller Merge.
    $platforms = @($sources | ForEach-Object { $_.platforms } | Where-Object { $_ } | Sort-Object -Unique)
    if ($platforms.Count -gt 1) {
        return @{ __status = 400; error = "Unterschiedliche Plattformen ($($platforms -join ', ')) - Zusammenfuehren nicht moeglich." }
    }
    $mergedPlatform = if ($platforms.Count -ge 1) { $platforms[0] } else { 'windows10' }
    # Technologies vereinen (Union).
    $techSet = [ordered]@{}
    foreach ($s in $sources) { foreach ($t in ($s.technologies -split ',')) { $tt = $t.Trim(); if ($tt) { $techSet[$tt] = $true } } }
    $mergedTech = (@($techSet.Keys) -join ','); if (-not $mergedTech) { $mergedTech = 'mdm' }
    # Nach settingDefinitionId gruppieren (Reihenfolge der Definitionen beibehalten).
    $groups = [ordered]@{}
    foreach ($s in $sources) {
        foreach ($el in @($s.settings)) {
            if (-not $el) { continue }
            $defId = Get-SettingDefinitionId $el
            if (-not $defId) { continue }
            if (-not $groups.Contains($defId)) { $groups[$defId] = @() }
            $groups[$defId] += @{ sourceId = $s.id; sourceName = $s.name; element = $el; canon = (Get-SettingCanonicalJson $el) }
        }
    }
    $mergedSettings = @()
    $conflicts      = @()
    foreach ($defId in @($groups.Keys)) {
        $entries  = @($groups[$defId])
        $distinct = @($entries | Group-Object -Property { $_.canon })
        if ($distinct.Count -eq 1) {
            $mergedSettings += $entries[0].element
            continue
        }
        # Konflikt: Gewinner bestimmen (resolutions[defId] = sourceId, sonst erste Quelle).
        $resSource = if ($resolutions) { [string](Get-PolicyProp $resolutions $defId) } else { '' }
        $chosen = $null
        if ($resSource) { $chosen = @($entries | Where-Object { $_.sourceId -eq $resSource })[0] }
        if (-not $chosen) { $chosen = $entries[0] }
        $mergedSettings += $chosen.element
        $conflicts += @{
            settingDefinitionId = $defId
            chosenSourceId      = $chosen.sourceId
            variants            = @($distinct | ForEach-Object {
                @{
                    sourceIds   = @($_.Group | ForEach-Object { $_.sourceId })
                    sourceNames = @($_.Group | ForEach-Object { $_.sourceName } | Select-Object -Unique)
                }
            })
        }
    }
    if ($mode -ne 'create') {
        return @{
            ok            = $true
            mode          = 'preview'
            platform      = $mergedPlatform
            technologies  = $mergedTech
            totalSettings = @($mergedSettings).Count
            conflictCount = @($conflicts).Count
            conflicts     = @($conflicts)
            sources       = @($sources | ForEach-Object { @{ id = $_.id; name = $_.name; settingCount = @($_.settings).Count } })
        }
    }
    # --- create ---
    if ($script:State.ReadOnly) { return @{ __status = 403; error = 'Read-Only-Modus: Zusammenfuehren ist deaktiviert.' } }
    $name = [string](Get-PolicyProp $Body 'name')
    if ([string]::IsNullOrWhiteSpace($name)) { return @{ __status = 400; error = 'Name fuer die neue Policy fehlt.' } }
    $desc = [string](Get-PolicyProp $Body 'description')
    # settings fuer den POST vorbereiten: Wrapper mit @odata.type, read-only 'id' weg,
    # Arrays reparieren (gleiche Behandlung wie beim Import).
    $outSettings = @()
    foreach ($el in $mergedSettings) {
        $si = Get-PolicyProp $el 'settingInstance'
        if (-not $si) { $si = $el }
        $outSettings += [ordered]@{
            '@odata.type'   = '#microsoft.graph.deviceManagementConfigurationSetting'
            settingInstance = $si
        }
    }
    $outSettings = @(Repair-SettingsCatalogArrays $outSettings)
    $newBody = [ordered]@{
        name              = $name
        description       = $desc
        platforms         = $mergedPlatform
        technologies      = $mergedTech
        templateReference = @{ templateFamily = 'none'; templateId = '' }
        settings          = $outSettings
    }
    $json = $newBody | ConvertTo-Json -Depth 50
    if ($json -match 'System\.Collections\.Hashtable|System\.Object\[\]') {
        return @{ __status = 500; error = 'Interner Serialisierungsfehler beim Zusammenfuehren (stringifizierte Objekte).' }
    }
    try {
        $created = Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/configurationPolicies' -Method POST -Body $json -ContentType 'application/json'
        return @{ ok = $true; mode = 'create'; newId = [string](Get-PolicyProp $created 'id'); name = $name; settingsCount = @($outSettings).Count; conflictCount = @($conflicts).Count }
    } catch {
        $msg = $_.Exception.Message
        try { if ($_.ErrorDetails.Message) { $msg = $_.ErrorDetails.Message } } catch {}
        return @{ __status = 500; error = $msg }
    }
 }
 # ============================================================
 # Policy-Snapshot nach Git (voller Export, stabile Dateinamen)
 # ============================================================
 # Rekursiv nach Schluesseln sortieren -> deterministische JSON-Ausgabe, damit
 # unveraenderte Policies keine Diff-Noise durch wechselnde Key-Reihenfolge
 # erzeugen (Invoke-MgGraphRequest liefert ungeordnete Hashtables).
 function ConvertTo-StableObject {
    param($InputObject)
    if ($InputObject -is [System.Collections.IDictionary]) {
        $ordered = [ordered]@{}
        foreach ($k in ($InputObject.Keys | Sort-Object)) {
            $ordered[$k] = ConvertTo-StableObject $InputObject[$k]
        }
        return $ordered
    }
    if (($InputObject -is [System.Collections.IEnumerable]) -and -not ($InputObject -is [string])) {
        # Array-Reihenfolge bleibt erhalten (ist bei Policies bedeutungstragend).
        return @($InputObject | ForEach-Object { ConvertTo-StableObject $_ })
    }
    return $InputObject
 }
 # git muss nicht im PATH des Server-Prozesses liegen (haeufig, wenn der Server vor
 # der Git-Installation gestartet wurde oder mit eingefrorener Umgebung laeuft).
 # Erst PATH probieren, dann bekannte Installationsorte. Ergebnis wird gecacht.
 function Get-GitExe {
    if ($script:GitExe -and (Test-Path $script:GitExe)) { return $script:GitExe }
    $cmd = Get-Command git -CommandType Application -ErrorAction SilentlyContinue | Select-Object -First 1
    if ($cmd) { $script:GitExe = $cmd.Source; return $script:GitExe }
    $cands = @()
    if ($env:ProgramFiles)        { $cands += (Join-Path $env:ProgramFiles 'Git\cmd\git.exe') }
    if (${env:ProgramFiles(x86)}) { $cands += (Join-Path ${env:ProgramFiles(x86)} 'Git\cmd\git.exe') }
    if ($env:LOCALAPPDATA)        { $cands += (Join-Path $env:LOCALAPPDATA 'Programs\Git\cmd\git.exe') }
    if ($env:LOCALAPPDATA)        { $cands += (Join-Path $env:LOCALAPPDATA 'Microsoft\WinGet\Links\git.exe') }
    foreach ($c in $cands) { if ($c -and (Test-Path $c)) { $script:GitExe = $c; return $c } }
    return $null
 }
 function Invoke-Git {
    param([Parameter(Mandatory=$true)][string]$RepoPath, [Parameter(Mandatory=$true)][string[]]$GitArgs)
    $exe = Get-GitExe
    if (-not $exe) { return @{ exit = 9009; out = 'git nicht gefunden (weder im PATH noch an bekannten Installationsorten).' } }
    $out = & $exe -C $RepoPath @GitArgs 2>&1
    return @{ exit = $LASTEXITCODE; out = (@($out) -join "`n").Trim() }
 }
 function Get-PolicySnapshotFolderName {
    # Tenant-Unterordner im Repo: Label (Multi-Tenant) sonst TenantId sonst 'default'.
    $active = Get-ActiveConnection -Settings $script:Settings
    $name = if ($active.label) { $active.label } elseif ($script:State.TenantId) { [string]$script:State.TenantId } else { 'default' }
    $safe = ($name -replace '[^\w\-\.]', '_')
    if ([string]::IsNullOrWhiteSpace($safe)) { $safe = 'default' }
    return $safe
 }
 function Invoke-PolicyGitSnapshotEndpoint {
    try { Assert-GraphConnected } catch { return @{ __status = 401; error = 'Nicht mit Microsoft Graph verbunden' } }
    $cfg    = $script:Settings.policyBackup
    $repo   = if ($cfg -and $cfg.gitRepoPath) { [string]$cfg.gitRepoPath } else { '' }
    $doPush = if ($cfg -and $cfg.push) { [bool]$cfg.push } else { $false }
    if ([string]::IsNullOrWhiteSpace($repo)) {
        return @{ __status = 400; error = 'Kein Git-Repo-Pfad konfiguriert (Einstellungen -> Policy-Backup).' }
    }
    # git verfuegbar? (PATH + bekannte Installationsorte)
    if (-not (Get-GitExe)) {
        return @{ __status = 500; error = 'git ist nicht auffindbar (weder im PATH des Server-Prozesses noch an den Standard-Installationsorten). Ggf. Server nach der Git-Installation neu starten.' }
    }
    # Repo-Ordner + .git sicherstellen
    if (-not (Test-Path $repo)) { New-Item -ItemType Directory -Path $repo -Force | Out-Null }
    if (-not (Test-Path (Join-Path $repo '.git'))) {
        $r = Invoke-Git -RepoPath $repo -GitArgs @('init')
        if ($r.exit -ne 0) { return @{ __status = 500; error = "git init fehlgeschlagen: $($r.out)" } }
    }
    # Commit-Identitaet sicherstellen (frisches Repo hat evtl. keine).
    if ([string]::IsNullOrWhiteSpace((Invoke-Git -RepoPath $repo -GitArgs @('config','user.email')).out)) {
        Invoke-Git -RepoPath $repo -GitArgs @('config','user.email','intune-manager@localhost') | Out-Null
        Invoke-Git -RepoPath $repo -GitArgs @('config','user.name','Intune Manager') | Out-Null
    }
    $tenantFolder = Get-PolicySnapshotFolderName
    $tenantDir    = Join-Path $repo $tenantFolder
    # Tenant-Ordner komplett neu aufbauen -> entfernte Policies verschwinden (Diff).
    if (Test-Path $tenantDir) { Remove-Item $tenantDir -Recurse -Force }
    New-Item -ItemType Directory -Path $tenantDir -Force | Out-Null
    $types   = @('settingscatalog','compliance','configuration','administrativetemplate')
    $total   = 0
    $perType = [ordered]@{}
    foreach ($type in $types) {
        $tcfg = Get-PolicyTypeConfig $type
        $list = @(Get-GraphPolicyList -Type $type)
        $perType[$tcfg.ExportType] = $list.Count
        if ($list.Count -eq 0) { continue }
        $typeDir = Join-Path $tenantDir $type
        New-Item -ItemType Directory -Path $typeDir -Force | Out-Null
        foreach ($item in $list) {
            $id = [string]$item.id
            $detail = $null
            try { $detail = Get-GraphPolicyDetail -Type $type -Id $id } catch { continue }
            $name  = [string]$item.name
            $safe  = ($name -replace '[^\w\-\.]', '_'); if (-not $safe) { $safe = $id }
            $short = if ($id.Length -ge 8) { $id.Substring(0,8) } else { $id }
            $fname = "$($safe)__$($short).json"
            $envelope = [ordered]@{
                policyType = $tcfg.ExportType
                policyName = $name
                policy     = $detail
            }
            # stabile (sortierte) Ausgabe, ohne Zeitstempel -> saubere Diffs
            (ConvertTo-StableObject $envelope) | ConvertTo-Json -Depth 50 | Set-Content -Path (Join-Path $typeDir $fname) -Encoding UTF8
            $total++
        }
    }
    $add = Invoke-Git -RepoPath $repo -GitArgs @('add','-A')
    if ($add.exit -ne 0) { return @{ __status = 500; error = "git add fehlgeschlagen: $($add.out)" } }
    if ([string]::IsNullOrWhiteSpace((Invoke-Git -RepoPath $repo -GitArgs @('status','--porcelain')).out)) {
        return @{ ok = $true; changed = $false; committed = $false; total = $total; perType = $perType; tenant = $tenantFolder; message = 'Keine Aenderungen seit dem letzten Snapshot.' }
    }
    $msg    = "Policy-Snapshot $tenantFolder $(Get-Date -Format 'yyyy-MM-dd HH:mm')"
    $commit = Invoke-Git -RepoPath $repo -GitArgs @('commit','-m',$msg)
    if ($commit.exit -ne 0) { return @{ __status = 500; error = "git commit fehlgeschlagen: $($commit.out)" } }
    $hash = (Invoke-Git -RepoPath $repo -GitArgs @('rev-parse','--short','HEAD')).out
    $pushed = $false; $pushError = $null
    if ($doPush) {
        $push = Invoke-Git -RepoPath $repo -GitArgs @('push')
        if ($push.exit -eq 0) { $pushed = $true } else { $pushError = $push.out }
    }
    $summary = "Snapshot committet: $total Policies ($hash)"
    if ($doPush) { $summary += if ($pushed) { ', gepusht' } else { ', Push fehlgeschlagen' } }
    return @{
        ok = $true; changed = $true; committed = $true
        total = $total; perType = $perType; tenant = $tenantFolder
        commit = $hash; pushed = $pushed; pushError = $pushError
        message = $summary
    }
 }
@@ -37,9 +37,14 @@
    <button class="nav-tab" data-view="report" aria-selected="false">App Report</button>
    <button class="nav-tab" data-view="devices" aria-selected="false">Geräte</button>
    <button class="nav-tab" data-view="policies" aria-selected="false">Policies</button>
    <button class="nav-tab" data-view="offboard" aria-selected="false">Offboarding</button>
  </nav>
  <div class="header-actions">
    <a id="updateBadge" class="update-badge hidden" href="#" target="_blank" rel="noopener" title="Update verfügbar — Release-Seite öffnen">
      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 12a9 9 0 1 1-3-6.7"/><polyline points="21 3 21 9 15 9"/></svg>
      <span id="updateBadgeText">Update</span>
    </a>
    <button id="btnSettings" class="icon-btn icon-btn-header" title="Einstellungen" aria-label="Einstellungen öffnen">
      <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><path d="M19.4 15a1.7 1.7 0 0 0 .34 1.86l.06.06a2 2 0 0 1-2.83 2.83l-.06-.06a1.7 1.7 0 0 0-1.86-.34 1.7 1.7 0 0 0-1.04 1.57V21a2 2 0 0 1-4 0v-.09a1.7 1.7 0 0 0-1.1-1.57 1.7 1.7 0 0 0-1.86.34l-.06.06a2 2 0 1 1-2.83-2.83l.06-.06a1.7 1.7 0 0 0 .34-1.86 1.7 1.7 0 0 0-1.57-1.04H3a2 2 0 0 1 0-4h.09A1.7 1.7 0 0 0 4.66 9a1.7 1.7 0 0 0-.34-1.86l-.06-.06a2 2 0 1 1 2.83-2.83l.06.06a1.7 1.7 0 0 0 1.86.34H9a1.7 1.7 0 0 0 1.04-1.57V3a2 2 0 0 1 4 0v.09c0 .68.42 1.29 1.04 1.57.62.27 1.36.13 1.86-.34l.06-.06a2 2 0 1 1 2.83 2.83l-.06.06a1.7 1.7 0 0 0-.34 1.86V9a1.7 1.7 0 0 0 1.57 1.04H21a2 2 0 0 1 0 4h-.09a1.7 1.7 0 0 0-1.51 1z"/></svg>
    </button>
@@ -53,6 +58,7 @@
        <span class="theme-knob"></span>
      </span>
    </button>
    <select id="tenantSwitch" class="tenant-switch hidden" title="Aktiven Mandanten wechseln"></select>
    <div id="connStatus" class="conn-pill conn-off" title="Verbindungsstatus">
      <span class="dot"></span>
      <span class="conn-text">Offline</span>
@@ -80,7 +86,7 @@
        Es öffnet sich ein Microsoft-Anmeldefenster. Wähle den gewünschten Account aus.
      </p>
      <div id="onboardingSetupHint" class="banner-warning hidden">
-        Konfiguration unvollständig — bitte zuerst <a href="#" id="onboardingOpenSettings">Einstellungen</a> öffnen und Tenant ID, Client ID und Abteilungs-Präfix setzen.
+        Konfiguration unvollständig — bitte zuerst <a href="#" id="onboardingOpenSettings">Einstellungen</a> öffnen und Tenant ID und Client ID setzen.
      </div>
      <button id="btnConnect" class="btn btn-primary btn-lg">
        <svg width="16" height="16" viewBox="0 0 24 24" fill="currentColor"><path d="M11.4 2.4H2.4v9h9v-9zm10.2 0h-9v9h9v-9zm-10.2 10.2H2.4v9h9v-9zm10.2 0h-9v9h9v-9z"/></svg>
@@ -124,7 +130,7 @@
  <section class="panel panel-targets">
    <div class="panel-head">
      <div class="panel-title">
-        <h2>Abteilungen &amp; Benutzer</h2>
+        <h2>Gruppen &amp; Benutzer</h2>
        <span id="targetCount" class="count-badge">0</span>
      </div>
      <button id="btnReloadTargets" class="icon-btn" title="Neu laden" aria-label="Neu laden">
@@ -133,8 +139,7 @@
    </div>
    <div class="mode-segment" role="tablist">
-      <button class="seg active" data-mode="dept" role="tab">Abteilung</button>
+      <button class="seg active" data-mode="dept" role="tab">Gruppe</button>
      <button class="seg" data-mode="rpa" role="tab">RPA</button>
      <button class="seg" data-mode="user" role="tab">Benutzer</button>
    </div>
@@ -192,6 +197,11 @@
        <option value="srcIntune">Nur Intune-Apps</option>
        <!-- Vendor-Optionen werden dynamisch von rebuildVendorFilterOptions() ergaenzt -->
      </select>
      <select id="appPlatformFilter" class="select" title="Nach Plattform filtern">
        <option value="all">Alle Plattformen</option>
        <option value="windows">Windows</option>
        <option value="macos">macOS</option>
      </select>
      <select id="appCategoryFilter" class="select" title="Nach App-Kategorie filtern">
        <option value="">Alle Kategorien</option>
        <!-- Kategorie-Optionen werden dynamisch von rebuildCategoryFilterOptions() befuellt -->
@@ -243,7 +253,7 @@
        <div class="summary-section">
          <div class="summary-section-title">Ausgewählte Empfänger</div>
          <div class="summary-row sub">
-            <span class="muted">Abteilungsgruppen</span>
+            <span class="muted">Gruppen</span>
            <span id="sumGroupsSel">0</span>
          </div>
          <div class="summary-row sub">
@@ -254,7 +264,7 @@
        <div class="summary-section">
          <div class="summary-section-title">Zuweisungen erhalten</div>
          <div class="summary-row sub">
-            <span class="muted">Abteilungsgruppen</span>
+            <span class="muted">Gruppen</span>
            <span id="sumGroupsOps">0</span>
          </div>
          <div class="summary-row sub">
@@ -291,7 +301,7 @@
    <!-- Tab-Leiste -->
    <div class="gex-tab-bar group-mgmt-tabs">
      <button class="gex-tab active" data-tab="export">Mitglieder &amp; Export</button>
-      <button class="gex-tab gex-add-pane" data-tab="add">Benutzer hinzufügen</button>
+      <button class="gex-tab gex-add-pane" data-tab="add">Benutzer | Gruppen hinzufügen</button>
      <button class="gex-tab gex-add-pane" data-tab="import">CSV-Import</button>
      <button class="gex-tab" data-tab="user">Benutzer</button>
    </div>
@@ -380,7 +390,11 @@
      <!-- Rechte Spalte: Benutzer hinzufügen -->
      <div class="gex-right hidden" id="gexPaneAdd">
-        <div class="gex-section-title">Benutzer suchen</div>
+        <div class="gex-addmode">
          <button type="button" class="gex-addmode-btn active" data-addmode="user">Benutzer</button>
          <button type="button" class="gex-addmode-btn" data-addmode="group">Gruppen</button>
        </div>
        <div class="gex-section-title" id="gexAddSearchTitle">Benutzer suchen</div>
        <div class="search-wrap" style="margin-bottom:10px;">
          <svg class="search-ico" width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2"><circle cx="11" cy="11" r="7"/><path d="M21 21l-4.3-4.3"/></svg>
          <input type="search" id="gexUserSearch" class="input input-search" placeholder="Name, UPN oder E-Mail…" autocomplete="off">
@@ -486,6 +500,21 @@
      <option value="noncompliant">Non-Compliant</option>
      <option value="unknown">Unbekannt</option>
    </select>
    <div id="devGroupWrap" style="position:relative;">
      <input type="search" id="devGroupSearch" placeholder="Nach Gruppe filtern…" autocomplete="off"
        style="height:34px;padding:0 24px 0 10px;border:1px solid var(--hairline);border-radius:6px;background:var(--canvas);color:var(--ink);font-size:12.5px;width:200px;box-sizing:border-box;">
      <button id="devGroupClear" type="button" title="Gruppen-Filter entfernen" hidden
        style="position:absolute;right:6px;top:50%;transform:translateY(-50%);background:none;border:none;color:var(--muted);cursor:pointer;font-size:16px;line-height:1;padding:0;">×</button>
      <div id="devGroupResults" class="dev-group-results hidden"></div>
    </div>
    <button id="btnDevExport" class="btn btn-secondary btn-sm" disabled title="Angezeigte Geräte als CSV exportieren">
      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 15v4a2 2 0 0 1-2 2H5a2 2 0 0 1-2-2v-4"/><polyline points="7 10 12 15 17 10"/><line x1="12" y1="15" x2="12" y2="3"/></svg>
      CSV
    </button>
    <button id="btnDevOffboard" class="btn btn-danger btn-sm dev-offboard-btn" disabled title="Ausgewählte Geräte offboarden (Intune / Autopilot / Entra)">
      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M9 21H5a2 2 0 0 1-2-2V5a2 2 0 0 1 2-2h4"/><polyline points="16 17 21 12 16 7"/><line x1="21" y1="12" x2="9" y2="12"/></svg>
      Offboarden (<span id="devOffboardCount">0</span>)
    </button>
  </div>
  <div class="dev-layout">
@@ -494,9 +523,11 @@
      <table class="dev-table" id="devTable">
        <thead>
          <tr>
            <th class="dev-col-check"><input type="checkbox" id="devCheckAll" title="Alle sichtbaren auswählen"></th>
            <th class="sortable" data-col="deviceName">Gerät <span class="sort-ico"></span></th>
            <th class="sortable" data-col="userDisplayName">Benutzer <span class="sort-ico"></span></th>
            <th class="sortable" data-col="operatingSystem">OS <span class="sort-ico"></span></th>
            <th class="sortable" data-col="managementType">Verwaltung <span class="sort-ico"></span></th>
            <th class="sortable" data-col="complianceState">Compliance <span class="sort-ico"></span></th>
            <th class="sortable" data-col="lastSyncDateTime">Letzter Sync <span class="sort-ico"></span></th>
          </tr>
@@ -572,6 +603,7 @@
      <option value="settingscatalog">Settings Catalog</option>
      <option value="compliance">Compliance</option>
      <option value="configuration">Konfigurationsprofil</option>
      <option value="administrativetemplate">Administrative Vorlage</option>
    </select>
    <span class="pol-toolbar-spacer" style="flex:1;"></span>
    <button class="btn btn-secondary btn-sm" id="btnPolRefresh" title="Policies neu laden">
@@ -583,6 +615,14 @@
      Import…
    </button>
    <input type="file" id="polImportFile" accept=".json,application/json" multiple style="display:none;">
    <button class="btn btn-secondary btn-sm" id="btnPolGitSnapshot" title="Alle Policies als Snapshot in den konfigurierten Git-Ordner schreiben und committen">
      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><line x1="12" y1="3" x2="12" y2="9"/><line x1="12" y1="15" x2="12" y2="21"/><circle cx="12" cy="3" r="1"/><circle cx="12" cy="21" r="1"/></svg>
      Git-Snapshot
    </button>
    <button class="btn btn-secondary btn-sm pol-write" id="btnPolConsolidate" disabled title="Ausgewählte Settings-Catalog-Policies zu einer neuen Policy zusammenführen">
      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M7 3v6a3 3 0 0 0 3 3h4a3 3 0 0 1 3 3v6"/><polyline points="3 7 7 3 11 7"/><polyline points="13 17 17 21 21 17"/></svg>
      Konsolidieren
    </button>
    <button class="btn btn-primary btn-sm" id="btnPolExport" disabled title="Ausgewählte Policies als JSON exportieren">
      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 15v4a2 2 0 0 1-2 2H5a2 2 0 0 1-2-2v-4"/><polyline points="7 10 12 15 17 10"/><line x1="12" y1="15" x2="12" y2="3"/></svg>
      Export (<span id="polSelCount">0</span>)
@@ -606,6 +646,44 @@
  </div>
 </section>
 <!-- ======================= OFFBOARDING ======================= -->
 <section class="off-view hidden" id="offView">
  <div class="off-bar">
    <select id="offSearchType" class="input" style="height:34px;max-width:170px;">
      <option value="name">Gerätename</option>
      <option value="serial">Seriennummer</option>
    </select>
    <input id="offSearch" class="input" placeholder="Suchen… (Enter)" style="max-width:320px;height:34px;">
    <button class="btn btn-secondary btn-sm" id="offSearchBtn">Suchen</button>
    <span class="off-bar-spacer" style="flex:1;"></span>
    <span id="offSelCount" class="muted">0 ausgewählt</span>
    <button class="btn btn-danger btn-sm" id="offBtn" disabled>Offboarding…</button>
  </div>
  <div class="off-note muted">
    Entfernt Geräte aus <b>Intune</b>, <b>Autopilot</b> und <b>Entra ID</b>. BitLocker-/FileVault-Keys und
    LAPS-Passwörter werden vor dem Löschen angezeigt. Benötigt zusätzliche Berechtigungen &amp; Admin-Rollen
    (siehe <code>docs/App-Registration.md</code>) — im Read-Only-Modus gesperrt.
  </div>
  <div class="off-table-wrap">
    <table class="pol-table off-table" id="offTable">
      <thead>
        <tr>
          <th style="width:34px;"><input type="checkbox" id="offCheckAll"></th>
          <th>Gerät</th>
          <th>Seriennr.</th>
          <th>OS</th>
          <th>Benutzer</th>
          <th>Letzter Sync</th>
          <th>Dienste</th>
        </tr>
      </thead>
      <tbody id="offBody">
        <tr><td colspan="7" class="pol-hint">Nach Geräten suchen…</td></tr>
      </tbody>
    </table>
  </div>
 </section>
 <!-- MODAL: Wipe -->
 <div class="modal-backdrop hidden" id="wipeModalBackdrop">
  <div class="modal" style="max-width:420px;">
@@ -667,6 +745,13 @@
                <span class="cg-mode-desc">Neue Required-Gruppe nach Naming-Schema erstellen und zuweisen.</span>
              </span>
            </label>
            <label class="cg-mode">
              <input type="radio" name="cgMode" value="req-existing">
              <span class="cg-mode-body">
                <span class="cg-mode-title">Bestehende Gruppe</span>
                <span class="cg-mode-desc">Eine vorhandene Entra-Gruppe als Required zuweisen.</span>
              </span>
            </label>
            <label class="cg-mode">
              <input type="radio" name="cgMode" value="req-allusers">
              <span class="cg-mode-body">
@@ -695,6 +780,13 @@
                <span class="cg-mode-desc">Neue Available-Gruppe nach Naming-Schema erstellen und zuweisen.</span>
              </span>
            </label>
            <label class="cg-mode">
              <input type="radio" name="cgMode" value="avail-existing">
              <span class="cg-mode-body">
                <span class="cg-mode-title">Bestehende Gruppe</span>
                <span class="cg-mode-desc">Eine vorhandene Entra-Gruppe als Available zuweisen.</span>
              </span>
            </label>
            <label class="cg-mode">
              <input type="radio" name="cgMode" value="avail-allusers">
              <span class="cg-mode-body">
@@ -718,6 +810,12 @@
        <input type="text" id="cgGroupName" class="input">
        <div id="cgStatus" class="form-hint"></div>
      </div>
      <div class="form-group" id="cgExistingGroup" hidden>
        <label class="lbl" for="cgExistingSearch">Bestehende Gruppe suchen</label>
        <input type="search" id="cgExistingSearch" class="input" placeholder="Gruppenname… (min. 2 Zeichen)" autocomplete="off">
        <div id="cgExistingResults" class="cg-existing-results"></div>
        <div id="cgExistingSelected" class="form-hint"></div>
      </div>
      <label class="check-chip" id="cgAssignToAppWrap">
        <input type="checkbox" id="cgAssignToApp" checked>
        <span>Gruppe direkt der App zuweisen</span>
@@ -808,6 +906,181 @@
  </div>
 </div>
 <!-- MODAL: Policy-Import (optional umbenennen) -->
 <div id="modalPolImport" class="modal hidden">
  <div class="modal-backdrop" data-close></div>
  <div class="modal-box modal-lg">
    <div class="modal-head">
      <h3>Policies importieren</h3>
      <button class="modal-close" data-close aria-label="Schließen">×</button>
    </div>
    <div class="modal-body">
      <div class="form-hint" style="margin-bottom:12px;">
        Namen können vor dem Import angepasst werden. Die Policies werden als
        <b>Neuanlage</b> im verbundenen Tenant erstellt — bestehende bleiben unverändert.
      </div>
      <div id="polImportList"></div>
    </div>
    <div class="modal-foot">
      <span id="polImportInfo" class="muted" style="margin-right:auto;"></span>
      <button class="btn btn-secondary" data-close>Abbrechen</button>
      <button class="btn btn-primary" id="polImportConfirm">Importieren</button>
    </div>
  </div>
 </div>
 <!-- MODAL: Policies konsolidieren (Settings Catalog) -->
 <div id="modalPolConsolidate" class="modal hidden">
  <div class="modal-backdrop" data-close></div>
  <div class="modal-box modal-lg">
    <div class="modal-head">
      <h3>Policies zusammenführen</h3>
      <button class="modal-close" data-close aria-label="Schließen">×</button>
    </div>
    <div class="modal-body">
      <div class="form-hint" style="margin-bottom:12px;">
        Die Einstellungen der ausgewählten <b>Settings-Catalog</b>-Policies werden zu
        <b>einer neuen</b> Policy vereint (Neuanlage — die Originale bleiben unverändert).
      </div>
      <div id="polConsSummary" class="pol-cons-summary"></div>
      <div id="polConsConflicts"></div>
      <div class="form-group" style="margin-top:12px;">
        <label class="lbl" for="polConsName">Name der neuen Policy</label>
        <input type="text" id="polConsName" class="input" placeholder="z. B. Konsolidiert – Defender macOS">
      </div>
      <div class="form-group">
        <label class="lbl" for="polConsDesc">Beschreibung (optional)</label>
        <input type="text" id="polConsDesc" class="input">
      </div>
    </div>
    <div class="modal-foot">
      <span id="polConsInfo" class="muted" style="margin-right:auto;"></span>
      <button class="btn btn-secondary" data-close>Abbrechen</button>
      <button class="btn btn-primary" id="polConsConfirm" disabled>Zusammenführen</button>
    </div>
  </div>
 </div>
 <!-- MODAL: Policy-Zuweisung nach Import -->
 <div id="modalPolAssign" class="modal hidden">
  <div class="modal-backdrop" data-close></div>
  <div class="modal-box modal-lg">
    <div class="modal-head">
      <h3>Importierte Policies zuweisen</h3>
      <button class="modal-close" data-close aria-label="Schließen">×</button>
    </div>
    <div class="modal-body">
      <div class="form-hint" style="margin-bottom:12px;">
        Optional: jeder importierten Policy Include- und/oder Exclude-Gruppen im aktuellen Tenant zuweisen.
        Felder leer lassen = keine Zuweisung. Original-Zuweisungen des Quell-Tenants werden nicht übernommen.
      </div>
      <div id="polAssignList"></div>
    </div>
    <div class="modal-foot">
      <span id="polAssignInfo" class="muted" style="margin-right:auto;"></span>
      <button class="btn btn-secondary" data-close>Überspringen</button>
      <button class="btn btn-primary" id="polAssignApply">Zuweisen</button>
    </div>
  </div>
 </div>
 <!-- MODAL: Geräte-Offboarding -->
 <div id="modalOffboard" class="modal hidden">
  <div class="modal-backdrop" data-close></div>
  <div class="modal-box modal-lg">
    <div class="modal-head">
      <h3>Geräte offboarden</h3>
      <button class="modal-close" data-close aria-label="Schließen">×</button>
    </div>
    <div class="modal-body">
      <div class="off-warn">⚠ Entfernt die Geräte aus den gewählten Diensten. Löschen ist <b>nicht umkehrbar</b>. Recovery-Keys unbedingt vorher sichern.</div>
      <div id="offConfirmList" class="off-confirm-list"></div>
      <div class="off-services">
        <div class="lbl">Dienste</div>
        <div class="off-svc-row">
          <span class="off-svc-label">Entra ID:</span>
          <label class="off-radio"><input type="radio" name="offEntra" value="none" checked> nichts tun</label>
          <label class="off-radio"><input type="radio" name="offEntra" value="disable"> deaktivieren</label>
          <label class="off-radio"><input type="radio" name="offEntra" value="delete"> löschen</label>
        </div>
        <label class="check-chip"><input type="checkbox" id="offSvcIntune" checked><span>Aus Intune löschen</span></label>
        <label class="check-chip"><input type="checkbox" id="offSvcAutopilot"><span>Aus Autopilot löschen</span></label>
      </div>
      <div id="offKeys" class="off-keys"></div>
      <label class="check-chip off-confirm-chip"><input type="checkbox" id="offConfirmChk"><span>Ich verstehe, dass die Geräte gelöscht/entfernt werden.</span></label>
      <div id="offResults"></div>
    </div>
    <div class="modal-foot">
      <span id="offModalInfo" class="muted" style="margin-right:auto;"></span>
      <button class="btn btn-secondary" data-close>Abbrechen</button>
      <button class="btn btn-danger" id="offExecuteBtn" disabled>Offboarding ausführen</button>
    </div>
  </div>
 </div>
 <style>
  /* Nutzt die Theme-Variablen der App -> passt sich Light/Dark automatisch an. */
  .pol-assign-row { border:1px solid var(--hairline); border-radius:8px; padding:12px 14px; margin-bottom:12px; overflow-wrap:anywhere; }
  .pol-assign-head { display:flex; align-items:baseline; gap:8px; margin-bottom:10px; flex-wrap:wrap; }
  .pol-assign-head .pol-name { font-weight:600; color:var(--ink); min-width:0; word-break:break-word; overflow-wrap:anywhere; }
  .pol-assign-head .pol-type-badge { flex:0 0 auto; }
  .pol-assign-pickers { display:flex; gap:16px; flex-wrap:wrap; }
  .pol-assign-picker { flex:1; min-width:220px; }
  .pol-assign-picker > .lbl { display:block; font-size:12px; margin-bottom:4px; color:var(--body); }
  .pol-assign-picker[data-kind="exclude"] > .lbl { color:var(--pink); }
  .pol-assign-chips { display:flex; flex-wrap:wrap; gap:6px; margin-bottom:6px; }
  .pol-assign-chip { display:inline-flex; align-items:center; gap:6px; padding:2px 8px; border-radius:12px;
    background:var(--surface-strong); color:var(--ink); font-size:12px; }
  .pol-assign-chip.exclude { background:rgba(236,72,153,0.18); color:var(--ink); }
  .pol-assign-chip button { border:none; background:none; cursor:pointer; font-size:14px; line-height:1; padding:0; color:var(--muted); }
  .pol-assign-chip button:hover { color:var(--ink); }
  .pol-assign-search-wrap { position:relative; }
  .pol-assign-dropdown { position:absolute; z-index:20; left:0; right:0; top:100%; margin-top:2px;
    background:var(--canvas); border:1px solid var(--hairline); border-radius:6px;
    max-height:200px; overflow-y:auto; box-shadow:0 6px 18px rgba(0,0,0,.25); }
  .pol-assign-dropdown .opt { padding:6px 10px; cursor:pointer; font-size:13px; color:var(--body); }
  .pol-assign-dropdown .opt:hover { background:var(--surface-soft); }
  .pol-assign-dropdown .opt .desc { font-size:11px; color:var(--muted); }
  .pol-assign-dropdown .msg { padding:6px 10px; font-size:12px; color:var(--muted); }
  .pol-import-row { display:flex; align-items:center; gap:10px; padding:8px 0; border-bottom:1px solid var(--hairline); }
  .pol-import-row:last-child { border-bottom:none; }
  .pol-import-name { flex:1; min-width:0; }
  .pol-import-row .pol-type-badge { flex:0 0 auto; }
  /* Offboarding */
  .off-view { padding:16px 20px; }
  .off-bar { display:flex; align-items:center; gap:10px; margin-bottom:10px; flex-wrap:wrap; }
  .off-note { font-size:12.5px; margin-bottom:12px; line-height:1.5; }
  .off-table-wrap { overflow-x:auto; }
  .off-table td, .off-table th { white-space:nowrap; }
  .off-badge { display:inline-block; padding:1px 7px; border-radius:10px; font-size:11px; background:var(--surface-strong); color:var(--ink); margin-right:3px; }
  .off-badge.warn { background:rgba(245,158,11,0.22); }
  .off-warn { background:rgba(239,68,68,0.14); border:1px solid rgba(239,68,68,0.35); color:var(--ink);
    border-radius:8px; padding:10px 12px; font-size:13px; margin-bottom:12px; }
  .off-confirm-list { margin-bottom:12px; }
  .off-confirm-row { font-size:13px; padding:4px 0; border-bottom:1px solid var(--hairline); overflow-wrap:anywhere; }
  .off-confirm-row:last-child { border-bottom:none; }
  .off-services { margin:12px 0; padding:12px; border:1px solid var(--hairline); border-radius:8px; }
  .off-services .lbl { display:block; font-size:12px; color:var(--body); margin-bottom:8px; }
  .off-svc-row { display:flex; align-items:center; gap:14px; flex-wrap:wrap; margin-bottom:10px; }
  .off-svc-label { font-size:13px; color:var(--ink); font-weight:600; }
  .off-radio { display:inline-flex; align-items:center; gap:5px; font-size:13px; cursor:pointer; }
  .off-keys { margin:12px 0; }
  .off-keys .lbl { display:block; font-size:12px; color:var(--pink); margin-bottom:6px; }
  .off-key-dev { border:1px solid var(--hairline); border-radius:6px; padding:8px 10px; margin-bottom:6px; font-size:12.5px; overflow-wrap:anywhere; }
  .off-key { margin-top:3px; }
  .off-key code { background:var(--surface-strong); color:var(--ink); padding:1px 5px; border-radius:4px; user-select:all; }
  .off-confirm-chip { margin-top:8px; }
  .off-result { font-size:13px; padding:3px 0; overflow-wrap:anywhere; }
  .off-result.ok { color:var(--success); }
  .off-result.fail { color:var(--error); }
  .off-result-dev { border:1px solid var(--hairline-soft, var(--hairline)); border-radius:8px; padding:8px 12px; margin-bottom:8px; }
  .off-result-devname { font-weight:600; font-size:13px; margin-bottom:4px; display:flex; align-items:center; gap:8px; }
  .off-result-badge { font-size:10.5px; font-weight:700; padding:1px 8px; border-radius:999px; background:rgba(245,80,80,0.18); color:var(--error); }
  #offResults .lbl { display:block; font-size:12px; color:var(--body); margin:10px 0 4px; }
 </style>
 <!-- MODAL: Hilfe -->
 <div id="modalHelp" class="modal hidden">
  <div class="modal-backdrop" data-close></div>
@@ -912,7 +1185,7 @@
        <div id="setupBanner" class="banner-warning hidden">
          <strong>Erste Konfiguration noetig.</strong>
-          Bitte mindestens Tenant ID, Client ID und Abteilungs-Praefix setzen. Danach <em>Verbindung + Lookups testen</em> ganz unten, dann speichern.
+          Bitte mindestens Tenant ID und Client ID setzen. Abteilungs-Präfixe sind optional. Danach <em>Verbindung + Lookups testen</em> ganz unten, dann speichern.
        </div>
        <section class="settings-sec">
@@ -921,20 +1194,46 @@
            <div class="settings-sec-sub">Tenant- und App-Registrierung. Änderungen erzwingen einen Disconnect.</div>
          </div>
          <div class="form-group">
-            <label class="lbl" for="setTenantId">Tenant ID (GUID)</label>
+            <label class="lbl" for="setConnMode">Verbindungsmodus</label>
-            <input type="text" id="setTenantId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
+            <select id="setConnMode" class="input">
-            <div class="form-hint">Findest du im Entra Admin Center → Übersicht → Tenant-Informationen.</div>
+              <option value="single">Single-Tenant (ein Mandant)</option>
              <option value="multi">Multi-Tenant (mehrere Mandanten, Umschalten in der Topbar)</option>
            </select>
            <div class="form-hint">Im Multi-Tenant-Modus hinterlegst du mehrere Mandanten mit je eigener App-Registrierung und wechselst oben rechts zwischen ihnen.</div>
          </div>
-          <div class="form-group">
+
-            <label class="lbl" for="setClientId">Client ID – Read/Write (GUID)</label>
+          <!-- Single-Tenant Felder -->
-            <input type="text" id="setClientId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
+          <div id="setSingleConn">
-            <div class="form-hint">App-Registrierung mit Schreibrechten. Erforderlich: <em>Allow public client flows</em> = Ja, Redirect URI <code>http://localhost</code>.</div>
+            <div class="form-group">
              <label class="lbl" for="setTenantId">Tenant ID (GUID)</label>
              <input type="text" id="setTenantId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
              <div class="form-hint">Findest du im Entra Admin Center → Übersicht → Tenant-Informationen.</div>
            </div>
            <div class="form-group">
              <label class="lbl" for="setClientId">Client ID – Read/Write (GUID)</label>
              <input type="text" id="setClientId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
              <div class="form-hint">App-Registrierung mit Schreibrechten. Erforderlich: <em>Allow public client flows</em> = Ja, Redirect URI <code>http://localhost</code>.</div>
            </div>
            <div class="form-group">
              <label class="lbl" for="setClientIdRo">Client ID – Read Only (GUID, optional)</label>
              <input type="text" id="setClientIdRo" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
              <div class="form-hint">Separate App-Registrierung ohne Schreibrechte. Nutzer dieser App sehen alle Daten, können aber nichts ändern. Leer lassen wenn nicht benötigt.</div>
            </div>
          </div>
-          <div class="form-group">
+
-            <label class="lbl" for="setClientIdRo">Client ID – Read Only (GUID, optional)</label>
+          <!-- Multi-Tenant Profile -->
-            <input type="text" id="setClientIdRo" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
+          <div id="setMultiConn" class="hidden">
-            <div class="form-hint">Separate App-Registrierung ohne Schreibrechte. Nutzer dieser App sehen alle Daten, können aber nichts ändern. Leer lassen wenn nicht benötigt.</div>
+            <div class="form-group">
              <label class="lbl">Tenant-Profile</label>
              <div class="form-hint" style="margin-bottom:8px;">Pro Mandant eine eigene App-Registrierung. Der aktive Mandant ist markiert; umschalten geht auch über die Topbar.</div>
              <div id="setTenantList" class="tenant-list"></div>
              <button type="button" id="btnAddTenant" class="btn btn-secondary btn-sm" style="margin-top:8px;">
                <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round"><line x1="12" y1="5" x2="12" y2="19"/><line x1="5" y1="12" x2="19" y2="12"/></svg>
                Tenant hinzufügen
              </button>
            </div>
          </div>
          <div class="form-group">
            <label class="lbl" for="setScopes">Scopes Read/Write (eine pro Zeile)</label>
            <textarea id="setScopes" class="input mono" rows="4" spellcheck="false" placeholder="Group.ReadWrite.All&#10;GroupMember.ReadWrite.All&#10;User.Read.All&#10;DeviceManagementApps.ReadWrite.All"></textarea>
@@ -958,17 +1257,6 @@
          </div>
        </section>
        <section class="settings-sec">
          <div class="settings-sec-head">
            <h4>RPA-Gruppen</h4>
            <div class="settings-sec-sub">Genaue <code>displayName</code>-Werte der Gruppen, die im RPA-Tab angezeigt werden. Eine pro Zeile.</div>
          </div>
          <div class="form-group">
            <label class="lbl" for="setRpaGroups">RPA-Gruppennamen</label>
            <textarea id="setRpaGroups" class="input mono" rows="4" spellcheck="false" placeholder="intune-userrole-windowsclientuser-rpa&#10;intune-userrole-windowsclientuser-rpa-fbt&#10;intune-userrole-windowsclientuser-rpa-pro"></textarea>
          </div>
        </section>
        <section class="settings-sec">
          <div class="settings-sec-head">
            <h4>Benutzer-Suche</h4>
@@ -1018,6 +1306,25 @@
          <div class="form-hint">Vorschau: <code id="setAvailPreview" class="set-preview"></code></div>
        </section>
        <section class="settings-sec">
          <div class="settings-sec-head">
            <h4>Policy-Backup (Git)</h4>
            <div class="settings-sec-sub">Lokaler Git-Ordner für Policy-Snapshots. Der „Git-Snapshot"-Button im Policies-Tab schreibt alle Policies als JSON dorthin und committet sie (optional Push).</div>
          </div>
          <div class="form-group">
            <label class="lbl" for="setPolicyGitPath">Git-Repo-Ordner (lokal)</label>
            <div class="form-row" style="gap:8px;align-items:center;">
              <input type="text" id="setPolicyGitPath" class="input mono" placeholder="z. B. C:\Intune-Backup" spellcheck="false" autocomplete="off" style="flex:1;">
              <button type="button" class="btn btn-secondary btn-sm" id="btnPickPolicyGit">Ordner…</button>
            </div>
            <div class="form-hint">Wird bei Bedarf angelegt und als Git-Repo initialisiert. Leer = Funktion deaktiviert.</div>
          </div>
          <div class="form-group">
            <label class="check-chip"><input type="checkbox" id="setPolicyGitPush"><span>Nach dem Commit automatisch <code>git push</code></span></label>
            <div class="form-hint">Nutzt deinen vorhandenen Git-Credential-Helper (Remote muss im Repo konfiguriert sein). Kein Token in der App.</div>
          </div>
        </section>
        <section class="settings-sec">
          <div class="settings-sec-head">
            <h4>Branding — Logo</h4>
@@ -1131,7 +1438,7 @@
        <section class="settings-sec">
          <div class="settings-sec-head">
            <h4>Konfiguration pruefen</h4>
-            <div class="settings-sec-sub">Prueft die aktuell eingetragenen Werte gegen Microsoft Graph: Abteilungs-Gruppen-Lookup, RPA-Gruppen und Benutzer-Suche. Voraussetzung: Verbindung steht.</div>
+            <div class="settings-sec-sub">Prueft die aktuell eingetragenen Werte gegen Microsoft Graph: Abteilungs-Gruppen-Lookup und Benutzer-Suche. Voraussetzung: Verbindung steht.</div>
          </div>
          <div class="form-row">
            <button type="button" class="btn btn-secondary" id="btnSettingsTest">Verbindung + Lookups testen</button>
@@ -335,6 +335,24 @@ h1, h2, h3 {
 .header-actions { display: flex; align-items: center; gap: 12px; }
 /* Update-Hinweis-Badge (neue Version verfuegbar) */
 .update-badge {
  display: inline-flex;
  align-items: center;
  gap: 6px;
  padding: 5px 11px;
  border-radius: 999px;
  background: var(--accent-soft);
  color: var(--brand-accent);
  border: 1px solid var(--brand-accent);
  font-size: 12px;
  font-weight: 600;
  text-decoration: none;
  white-space: nowrap;
  transition: filter var(--tx, 0.15s ease-out);
 }
 .update-badge:hover { filter: brightness(0.96); }
 /* Theme-Toggle — Slide-Switch */
 .theme-toggle {
  appearance: none;
@@ -1129,6 +1147,21 @@ a.target-link:hover {
 }
 .target-row:hover .entra-link,
 .ex-member-row:hover .entra-link { opacity: 1; }
 /* Gruppen-Filter-Dropdown im Geraete-Tab (nutzt .cg-existing-item fuer die Zeilen) */
 .dev-group-results {
  position: absolute;
  z-index: 40;
  top: 38px;
  left: 0;
  min-width: 220px;
  max-height: 260px;
  overflow-y: auto;
  background: var(--canvas);
  border: 1px solid var(--hairline);
  border-radius: 6px;
  box-shadow: 0 8px 24px rgba(0,0,0,0.28);
 }
 .entra-link:hover {
  background: var(--surface-soft);
  color: var(--brand-accent);
@@ -1327,6 +1360,7 @@ html[data-theme="dark"] .entra-link.teams-link:hover {
  border-radius: var(--r-md);
 }
 .member-row {
  display: flex;
  align-items: center;
@@ -4020,6 +4054,67 @@ body.members-page {
  color: var(--muted);
 }
 /* "Bestehende Gruppe" — Suchergebnis-Liste im Zuweisungs-Dialog */
 .cg-existing-results {
  margin-top: 8px;
  max-height: 220px;
  overflow-y: auto;
  border: 1px solid var(--hairline-soft);
  border-radius: var(--r-xs);
 }
 .cg-existing-results:empty { display: none; }
 .cg-existing-item {
  display: flex;
  flex-direction: column;
  gap: 2px;
  width: 100%;
  text-align: left;
  padding: 8px 12px;
  background: transparent;
  border: none;
  border-bottom: 1px solid var(--hairline-soft);
  cursor: pointer;
  color: inherit;
 }
 .cg-existing-item:last-child { border-bottom: none; }
 .cg-existing-item:hover { background: var(--hover, rgba(127,127,127,0.08)); }
 .cg-existing-item.is-selected { background: var(--accent-soft); }
 .cg-existing-name { font-size: 13px; font-weight: 600; }
 .cg-existing-desc { font-size: 11px; color: var(--muted); }
 .cg-existing-empty { padding: 10px 12px; font-size: 12px; color: var(--muted); }
 /* Ausgewaehlte Gruppen als Chips (Mehrfachauswahl) */
 .cg-existing-chips {
  display: flex;
  flex-wrap: wrap;
  gap: 6px;
  margin-top: 8px;
 }
 .cg-chip {
  display: inline-flex;
  align-items: center;
  gap: 6px;
  padding: 3px 6px 3px 10px;
  background: var(--accent-soft);
  color: var(--brand-accent);
  border-radius: 999px;
  font-size: 12px;
  font-weight: 600;
  max-width: 100%;
 }
 .cg-chip-name { overflow: hidden; text-overflow: ellipsis; white-space: nowrap; max-width: 220px; }
 .cg-chip-x {
  border: none;
  background: transparent;
  color: inherit;
  cursor: pointer;
  font-size: 15px;
  line-height: 1;
  padding: 0 2px;
  opacity: 0.75;
 }
 .cg-chip-x:hover { opacity: 1; }
 .cg-mode {
  display: flex;
  align-items: flex-start;
@@ -4554,6 +4649,25 @@ html[data-theme="dark"] .numInputWrapper span.arrowDown {
  flex-shrink: 0;
 }
 /* Umschalter Benutzer/Gruppen im "Hinzufuegen"-Pane */
 .gex-addmode { display: flex; gap: 6px; margin-bottom: 12px; }
 .gex-addmode-btn {
  flex: 1;
  padding: 6px 10px;
  border: 1px solid var(--hairline);
  border-radius: var(--r-sm, 6px);
  background: var(--canvas);
  color: var(--muted);
  font-size: 12.5px;
  font-weight: 600;
  cursor: pointer;
 }
 .gex-addmode-btn.active {
  background: var(--accent-soft);
  color: var(--brand-accent);
  border-color: var(--brand-accent);
 }
 .gex-tab {
  padding: 10px 18px;
  font-size: 13px;
@@ -4873,6 +4987,7 @@ body.read-only .gex-add-pane,
 body.read-only .gex-tab[data-tab="add"],
 body.read-only .gex-tab[data-tab="import"],
 body.read-only #gexPaneImport,
 body.read-only .dev-offboard-btn,
 body.read-only .pol-write {
  display: none !important;
 }
@@ -5277,6 +5392,8 @@ body.read-only .app-row {
 }
 .dev-table thead th.sortable { cursor: pointer; }
 .dev-table thead th.sortable:hover { color: var(--text); }
 .dev-col-check { width: 34px; text-align: center; padding-left: 6px; padding-right: 6px; }
 .dev-col-check input { cursor: pointer; }
 .dev-table tbody tr {
  cursor: pointer;
  border-bottom: 1px solid var(--hairline-soft);
@@ -5310,6 +5427,8 @@ body.read-only .app-row {
 .dev-badge-ok  { background: rgba(74,222,128,.15); color: #4ade80; }
 .dev-badge-err { background: rgba(248,113,113,.15); color: #f87171; }
 .dev-badge-unk { background: var(--hairline-soft);  color: var(--muted); }
 .dev-badge-intune { background: rgba(96,165,250,.15); color: #60a5fa; }
 .dev-badge-comgmt { background: rgba(251,191,36,.15); color: #fbbf24; }
 /* Detail-Panel */
 .dev-detail {
@@ -5367,6 +5486,31 @@ body.read-only .app-row {
  border: 1px solid var(--border);
  border-radius: 6px;
 }
 /* Policies konsolidieren — Modal */
 .pol-cons-summary { font-size: 13px; line-height: 1.6; }
 .pol-cons-summary .pol-cons-warn { color: var(--pink, #e0567a); }
 .pol-cons-err { color: var(--pink, #e0567a); font-size: 13px; }
 .pol-cons-src { margin: 6px 0 0; padding-left: 18px; font-size: 12px; }
 .pol-cons-src li { margin: 1px 0; }
 .pol-cons-conf-head { margin: 14px 0 6px; font-weight: 600; font-size: 13px; }
 .pol-cons-conf {
  border: 1px solid var(--hairline-soft, var(--border));
  border-radius: var(--r-xs, 6px);
  padding: 8px 10px;
  margin-bottom: 6px;
 }
 .pol-cons-def {
  font-family: ui-monospace, SFMono-Regular, Menlo, monospace;
  font-size: 11px;
  color: var(--muted);
  overflow: hidden;
  text-overflow: ellipsis;
  white-space: nowrap;
  margin-bottom: 6px;
 }
 .pol-cons-opts { display: flex; flex-wrap: wrap; gap: 6px 16px; }
 .pol-cons-opt { display: inline-flex; align-items: center; gap: 6px; font-size: 12px; cursor: pointer; }
 .pol-table { width: 100%; border-collapse: collapse; font-size: 13px; }
 .pol-table thead { position: sticky; top: 0; z-index: 2; background: var(--bg2); }
 .pol-table th {
@@ -5407,3 +5551,55 @@ body.read-only .app-row {
  color: var(--text-dim, #888);
  font-size: 13px;
 }
 /* =============================================================
   Multi-Tenant: Topbar-Umschalter + Profil-Editor
   ============================================================= */
 .tenant-switch {
  height: 30px;
  max-width: 200px;
  padding: 0 8px;
  border: 1px solid var(--hairline, var(--border));
  border-radius: 6px;
  background: var(--canvas, var(--bg2));
  color: var(--ink, var(--text));
  font-size: 12.5px;
  font-family: inherit;
  cursor: pointer;
 }
 .tenant-switch:hover { border-color: var(--brand, var(--accent)); }
 .tenant-list { display: flex; flex-direction: column; gap: 10px; }
 .tenant-row {
  border: 1px solid var(--border);
  border-radius: 8px;
  padding: 10px;
  background: var(--bg2, transparent);
 }
 .tenant-row-head {
  display: flex;
  align-items: center;
  gap: 10px;
  margin-bottom: 8px;
 }
 .tenant-row-head .tenant-label { flex: 1; }
 .tenant-active {
  display: inline-flex;
  align-items: center;
  gap: 5px;
  font-size: 12px;
  color: var(--text-dim, #888);
  white-space: nowrap;
  cursor: pointer;
 }
 .tenant-active input { cursor: pointer; }
 .tenant-remove { flex: 0 0 auto; line-height: 1; padding: 4px 8px; }
 .tenant-row-grid { display: flex; flex-direction: column; gap: 6px; }
 .tenant-empty { padding: 8px 0; }
 /* Multi-Tenant: Pro-Profil Overrides (Präfixe/RPA) */
 .tenant-row-overrides { margin-top: 8px; display: flex; flex-direction: column; gap: 3px; }
 .tenant-sub-lbl { font-size: 11px; font-weight: 600; color: var(--text-dim, #888); margin-top: 4px; }
 .tenant-sub-hint { font-weight: 400; opacity: 0.8; }
 .tenant-row-overrides textarea { resize: vertical; }
 .tenant-naming-grid { display: grid; grid-template-columns: 1fr 1fr; gap: 6px; }
Author	SHA1	Message	Date
marcoandClaude Opus 4.8	af301925e9	v0.1.35 — Settings-Catalog-Import-Fix und Update-Check hinter Proxy Build & Release MSI / build-msi (push) Canceled after 0s Details Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-15 17:50:27 +02:00
marcoandClaude Opus 4.8	0ae20211c7	Settings-Catalog-Import: choiceSettingCollectionValue als Array erzwingen choiceSettingCollectionValue fehlte in der Array-Key-Liste von Repair-SettingsCatalogArrays. Beim PS-5.1-JSON-Roundtrip wurde ein Ein-Element-choiceSettingCollectionValue zum Einzelobjekt entpackt, worauf Graph den Import mit 400 "Property choiceSettingCollectionValue in payload has a value that does not match schema" ablehnte (z. B. Default Defender Antivirus Policy). Jetzt analog zu group-/simpleSettingCollectionValue behandelt. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-15 17:49:30 +02:00
marcoandClaude Opus 4.8	de32f6201c	Update-Check: Proxy-Authentifizierung unterstützen Hinter authentifizierten Unternehmens-Proxys (NTLM/Kerberos) scheiterte der Update-Check mit HTTP 407, weil Invoke-RestMethod keine Anmeldeinformationen an den Proxy sendet. Jetzt werden die angemeldeten Windows-Credentials an den System-Proxy durchgereicht; optionaler expliziter Proxy via settings.json -> update.proxy. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-14 10:59:02 +02:00
marcoandClaude Opus 4.8	e110763e6a	v0.1.34 — Verwaltungsart-Spalte und Autopilot-Zeitstempel Build & Release MSI / build-msi (push) Canceled after 0s Details Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-14 09:49:43 +02:00
marcoandClaude Opus 4.8	dfc1128f31	Geräte-Tab: Verwaltungsart-Spalte und Autopilot-Zeitstempel - Neue Spalte "Verwaltung" (Intune vs. Co-Managed) in der Geräteliste, abgeleitet aus managementAgent; farbige Badges, sortierbar, im CSV-Export und im Detail-Panel. - Detail-Panel zeigt Autopilot-Daten (Registriert, Profil zugewiesen am, letzter Kontakt) per Lookup über die Seriennummer. Ein echtes Importdatum liefert Graph nicht; verfügbar sind nur diese Zeitstempel. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-14 07:49:14 +02:00
marcoandClaude Opus 4.8	e4efb0ac32	v0.1.33 — Offboarding-Report und Update-Hinweis Build & Release MSI / build-msi (push) Canceled after 0s Details - Offboarding: HTML-Report pro Geraet (New-OffboardHtmlReport) + reportUrl; Dialog-Ergebnis pro Geraet gruppiert + Report-Link - Update-Check: GET /api/update/check (Gitea releases/latest, Compare-SemVer); Kopfzeilen-Badge bei neuer Version, Link zur Release-Seite; optionaler read-only Token Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-13 15:59:30 +02:00
marcoandClaude Opus 4.8	968f47b94f	v0.1.32 — Bulk-Offboarding aus dem Geraete-Tab, Geraete-Ladefehler behoben Build & Release MSI / build-msi (push) Canceled after 0s Details - Bulk-Offboarding aus dem Geraete-Tab (Checkboxen + Alle, POST /api/offboard/resolve) - Fix "Geraete konnten nicht geladen werden" (400): managementState raus dem $select, $orderby entfernt, Namensfilter-Fallback auf deviceName, beta-Endpoint - Bessere Graph-Fehler-Diagnose (Graph-Body an die Meldung anhaengen) - Offboard: Grund fuer nicht gefundene Autopilot-Zuordnung sichtbar (autopilotNote) Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-11 22:08:46 +02:00
marcoandClaude Opus 4.8	bd73a9c3b2	v0.1.31 — Policy-Konsolidierung, Geraete-Export nach Gruppe, Gruppen-in-Gruppen Build & Release MSI / build-msi (push) Canceled after 0s Details - Policies zusammenfuehren (Settings Catalog -> eine neue Policy, Konfliktaufloesung) - Geraete-Tab: Gruppen-Filter (Live-Suche) + CSV-Export der angezeigten Liste - Group Management: bestehende Gruppen als Mitglied hinzufuegen (verschachtelt) - Fix: Geraete "Invalid Date" (ISO-Normalisierung) + Datums-/Spalten-Sortierung - Doku (README/CHANGELOG) + Version-Bump 0.1.31 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-11 09:01:02 +02:00
marcoandClaude Opus 4.8	446c53f409	v0.1.30 — Policy-Bulk-Import gehaertet, macOS-Apps, Gruppen-Suche & Direkt-Zuweisung Build & Release MSI / build-msi (push) Canceled after 0s Details - Bulk-Import von Policies (Batches + Fortschritt, Fehler-Isolierung) - Export/Import-Treue via Raw-JSON (-OutputType Json), null-Collections-Strip, Settings-Catalog-Reparatur + Korruptions-Erkennung, Git-Resolver - macOS-Apps in Liste/Suche + Plattform-Filter - "Gruppe"-Tab durchsucht alle Gruppen (Live-Suche) statt nur Praefix-Gruppen - Bestehende Gruppe(n) direkt an Apps zuweisen inkl. Mehrfachauswahl - Fix: Add-GraphAppAssignment merged bestehende Zuweisungen (/assign ersetzt sonst die komplette Liste) -> kein Ueberschreiben mehr, ein Request fuer alle Ziele Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-09-03 09:03:22 +02:00
marcoandClaude Opus 4.8	5c60eacc12	v0.1.29 — Geraete-Offboarding (v1) Build & Release MSI / build-msi (push) Canceled after 0s Details Neu: - Geraete-Offboarding: Geraete ueber Intune, Autopilot und Entra ID entfernen. Suche + ID-Aufloesung (via $batch), Recovery-Keys (BitLocker/FileVault/LAPS) vor dem Loeschen, Bestaetigungs-Dialog mit Dienst-Auswahl + 403/Multi-Admin-Approval-Handling, im Read-Only gesperrt. Neues Modul src/Offboard.ps1, Endpoints /api/offboard/{search,keys,execute}. Portiert aus Device Offboarding Manager (Ugur Koc, MIT). - Offboarding-Berechtigungen dokumentiert; Setup-Skript -IncludeOffboarding. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-24 12:37:41 +02:00
marcoandClaude Opus 4.8	830dddd15a	v0.1.28 — Umbenennen beim Import, UI-Fixes, Geraete-Export repariert Build & Release MSI / build-msi (push) Canceled after 0s Details Neu: - Umbenennen beim Import: Policy-Name vor dem Anlegen anpassbar (Dialog "Policies importieren"), richtiges Namensfeld je Typ Behoben: - Geraete-Export im App Report: entfernter sync-Endpoint getDeviceInstallStatusReport (400) -> async Export-Job DeviceInstallStatusByApp; ZIP/CSV-Logik in Get-IntuneReportRows - Darkmode-Kontrast im Zuweisungs-Dialog (Theme-Variablen statt fester Farben) - Dialog-Breite: lange Policy-Namen brechen um statt H-Scroll Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-24 09:23:59 +02:00
marcoandClaude Opus 4.8	c1fc6f8b94	v0.1.27 — App-Registrierungs-Doku + Setup-Skript, Version-Bump Build & Release MSI / build-msi (push) Canceled after 0s Details - docs/App-Registration.md: alle benoetigten Graph-Berechtigungen (Kern, Geraete-Tab, Read-Only) + Auth-Konfiguration - docs/Setup-AppRegistration.ps1: legt die App-Registrierung automatisch an (Rechte, Public-Client-Flow, Redirect-URIs, optional Admin-Consent); Berechtigungs-IDs werden live aufgeloest - README/CHANGELOG verlinkt, ToolVersion + build-local auf 0.1.27 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-23 11:36:42 +02:00
marcoandClaude Opus 4.8	4efc71376b	Policy-Import haerten, Admin-Vorlagen, Zuweisung nach Import, Git-Snapshot Neu: - Administrative Vorlagen (ADMX / groupPolicyConfigurations) als vierter Policy-Typ fuer Export/Import (GET /api/policies/administrativetemplate) - Zuweisung direkt nach Import: pro Policy Include-/Exclude-Gruppen (POST /api/policies/assign, typ-spezifische /assign-Action) - Git-Snapshot: versioniertes Policy-Backup in lokalen Git-Ordner (Settings-Sektion policyBackup) - Import akzeptiert Git-Snapshot-Dateien (policyType neben exportType) Behoben: - Settings-Catalog-Import schema-konform: Collection-Properties immer als Array (repariert PS-5.1-Roundtrip), null -> [], Wrapper-@odata.type, read-only id entfernt - Import-Phantom-Fehler (@($null)-Geisterdurchlauf im Archiv-Pfad) - Frontend-Cache-Reset beim Tenant-Wechsel (resetClientState) - WAM-Anmeldefenster zuverlaessig im Vordergrund (AttachThreadInput) Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-23 11:25:19 +02:00
marcoandClaude Opus 4.8	450428e7f7	CI: Token-Laengen-Diagnose im Gitea-Upload-Schritt entfernt Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-21 00:49:46 +02:00
marcoandClaude Opus 4.8	9a61cad54b	CI: Gitea-Upload-Schritt loggt Token-Laenge zur Diagnose Build & Release MSI / build-msi (push) Canceled after 0s Details Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-21 00:37:54 +02:00
marcoandClaude Opus 4.8	18e6a597cc	v0.1.26 — Multi-Tenant, Pro-Tenant-Vorgaben, RPA entfernt Build & Release MSI / build-msi (push) Canceled after 0s Details Version-Bump (Start.ps1, build-local.ps1) + CHANGELOG-Eintrag. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-21 00:29:16 +02:00
marcoandClaude Opus 4.8	30d605703b	CI: gebaute MSI zusaetzlich als Gitea-Release-Asset spiegeln Neuer Schritt in release.yml lädt die MSI nach dem GitHub-Release per Gitea-API (Release per Tag holen/anlegen, gleichnamiges Asset ersetzen, hochladen). Benoetigt GitHub-Secret GITEA_TOKEN; ohne Token ueberspringt sich der Schritt. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-21 00:27:47 +02:00
marcoandClaude Opus 4.8	37ae32bb94	Multi-Tenant-Umschaltung + Pro-Tenant-Vorgaben, RPA deaktiviert - Multi-Tenant: Settings-Schalter Single/Multi, Profile mit je eigener App-Registrierung, Topbar-Umschalter mit Sofort-Reconnect; verlustfreie Migration (Get-ActiveConnection/-TenantProfile, /api/tenants[/switch]). - Pro-Tenant-Overrides mit globalem Fallback: Abteilungs-Praefixe sowie Required-/Available-Gruppen-Naming (Get-DepartmentPrefixes/Get-GroupNaming tenant-bewusst; New-GroupEndpoint nutzt Resolver). - RPA komplett deaktiviert: Mode-Tab, globaler Settings-Abschnitt und Test-Anzeige entfernt. - Setup-Zwang gelockert: nur Tenant ID + Client ID Pflicht; Abteilungs- Praefixe optional (kein harter Setup-Blocker mehr). - api(): "Failed to fetch" -> klare Meldung "Server nicht erreichbar…". - Hilfe-Footer: "Entwickelt von WendeIT – Marco Wende". Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-19 19:16:34 +02:00
marcoandClaude Opus 4.8	f36e9c5ba0	Policy-Export: mehrere Policies als Einzeldateien statt Bundle Bei mehreren ausgewaehlten Policies wird jede als eigene JSON-Datei heruntergeladen (statt einer gebuendelten Datei). 150ms Pause zwischen den Downloads gegen verschluckte Browser-Downloads; Dateinamen bei gleichem Anzeigenamen automatisch eindeutig. Import liest alte Bundles weiterhin. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-19 14:33:24 +02:00