Policies: ADMX-Presentation-Matching Hashtable-Bug behoben (PS7/Container)

Where-Object liefert bei einem Treffer ein Einzelobjekt. Ist das eine Hashtable
(PS7 ConvertFrom-Json -AsHashtable, wie im Docker-Container), war $sameType[0]
eine Schluessel-Suche nach Key 0 (=> $null) statt Array-Index -> Presentation
wurde als "nicht zuordenbar" gewertet und die Einstellung uebersprungen. Unter
Windows PowerShell 5.1 (PSCustomObjects) trat der Fehler nicht auf.
Fix: Where-Object-Ergebnis vor dem Indexieren in @() zwingen. Verifiziert per
Simulation gegen die realen Firefox-ADMX-Exportdaten (Default Search Engine,
URL for Home page).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitattributes

@@ -0,0 +1,4 @@
+# Shell-Scripts muessen LF behalten - CRLF zerschiesst den Shebang auf macOS/Linux
+# ("bad interpreter"). Gilt unabhaengig von core.autocrlf.
+*.sh        text eol=lf
+*.command   text eol=lf

.github/workflows/release.yml

@@ -31,8 +31,8 @@ jobs:
         run: |
           $stage = "${{ runner.temp }}\stage"
           New-Item -ItemType Directory -Force $stage | Out-Null
-          # Copy everything except .git, .github, installer
+          # Copy everything except Repo-/CI-/Dev-/macOS-only Dateien.
-          Get-ChildItem -Path . -Exclude '.git','.github','installer' |
+          Get-ChildItem -Path . -Exclude '.git','.github','installer','start-macos.command','tests','.gitattributes' |
             Copy-Item -Destination $stage -Recurse -Force
 
       - name: Install WiX Toolset v4

CHANGELOG.md

@@ -5,6 +5,70 @@ Versionierung folgt [Semantic Versioning](https://semver.org/lang/de/) — solan
 
 ---
 
+## [0.1.36] - 2026-09-16
+
+Bulk-Gruppenzuweisung für Policies und Autopilot im Offboarding.
+
+### Neu
+
+- **Gruppen zuweisen (Bulk)** im Policies-Tab: mehreren ausgewählten Policies (typübergreifend) in einem Schritt dieselben **Include-/Exclude-Gruppen** zuweisen — plus die integrierten Ziele **Alle Geräte** und **Alle Benutzer**. Zwei Modi: **Hinzufügen** (bestehende Zuweisungen bleiben erhalten und werden gemergt, da Graph `/assign` die komplette Liste ersetzt) und **Ersetzen**. Neuer Parameter `mode`/`allDevices`/`allUsers` an `POST /api/policies/assign`.
+- **Offboarding durchsucht jetzt auch Autopilot**: Reine Autopilot-Geräte (registriert, aber nicht/nicht mehr in Intune enrolled) tauchten bisher nicht auf. Die Suche fragt zusätzlich `windowsAutopilotDeviceIdentities` ab (Seriennummer bzw. Anzeigename), dedupliziert gegen die Intune-Treffer und lädt für Autopilot-only-Geräte das Entra-Objekt per `azureAdDeviceId` nach.
+
+### Doku
+
+- README: vollständige Graph-Berechtigungen für den vollen Funktionsumfang, nach Bereich gruppiert (Kern, Geräte-Tab, Offboarding, Read-Only) — inkl. `DeviceManagementServiceConfig.*` (Autopilot-Status im Geräte-Detail, Autopilot-Suche im Offboarding). `docs/App-Registration.md` und `docs/Setup-AppRegistration.ps1` (`-IncludeDeviceActions`) entsprechend ergänzt.
+
+---
+
+## [0.1.35] - 2026-09-15
+
+Settings-Catalog-Import-Fix und Update-Check hinter Proxy.
+
+### Behoben
+
+- **Settings-Catalog-Import** (400 „Property choiceSettingCollectionValue … does not match schema"): `choiceSettingCollectionValue` fehlte in der Array-Normalisierung. Beim JSON-Roundtrip unter PowerShell 5.1 wurde ein Ein-Element-`choiceSettingCollectionValue` zum Einzelobjekt entpackt und von Graph abgelehnt (z. B. „Default Defender Antivirus Policy"). Wird jetzt wie `group-`/`simpleSettingCollectionValue` behandelt.
+- **Update-Check hinter authentifiziertem Proxy** (HTTP 407): Der Versions-Check schlug hinter Unternehmens-Proxys (NTLM/Kerberos) still fehl, weil `Invoke-RestMethod` keine Anmeldeinformationen an den Proxy sendete. Die angemeldeten Windows-Credentials werden jetzt an den System-Proxy durchgereicht; optionaler expliziter Proxy über `settings.json → update.proxy`.
+
+---
+
+## [0.1.34] - 2026-09-14
+
+Verwaltungsart in der Geräteliste, Autopilot-Zeitstempel im Detail.
+
+### Neu
+
+- **Spalte „Verwaltung"** in der Geräteliste: zeigt je Gerät, ob es **Intune** (reines MDM) oder **Co-Managed** (ConfigMgr + Intune) ist — abgeleitet aus `managementAgent`. Farbige Badges, sortierbar, auch im CSV-Export und im Detail-Panel.
+- **Autopilot-Infos im Geräte-Detail**: Beim Auswählen eines Windows-Geräts wird die Autopilot-Identity per Seriennummer nachgeladen und zeigt **Registrierungsstatus**, **Profil zugewiesen am** (`deploymentProfileAssignedDateTime`) und **letzter Autopilot-Kontakt** (`lastContactedDateTime`). Hinweis: Ein exaktes Autopilot-Importdatum liefert Microsoft Graph nicht; angezeigt werden die verfügbaren Zeitstempel. Kein Performance-Einfluss auf die Liste (Lookup nur pro ausgewähltem Gerät), keine neue Berechtigung nötig.
+
+---
+
+## [0.1.33] - 2026-09-13
+
+Offboarding-Report und Update-Hinweis.
+
+### Neu
+
+- **Offboarding-Report**: Nach dem Ausführen erzeugt das Offboarding einen **HTML-Report** (`/reports/offboard-report-<zeit>.html`) im Stil des Zuweisungs-Reports — mit KPIs (Geräte / Aktionen / Erfolg / Fehler) und **pro Gerät** einer Tabelle der ausgeführten Löschungen (Dienst · Aktion · Status · Meldung). Das Ergebnis im Dialog ist jetzt ebenfalls **pro Gerät gruppiert**, plus ein Button „HTML-Report öffnen".
+- **Update-Hinweis**: Beim Start prüft die App (nicht-blockierend) die neueste Release-Version über **Gitea** und zeigt bei einer neueren Version ein **Badge in der Kopfzeile** mit Link zur Release-Seite (dort MSI herunterladen → In-Place-Upgrade). Nur Lesezugriff; optionaler read-only Token via `settings.json → update.token`, falls das Repo privat ist. Neuer Endpoint `GET /api/update/check`.
+
+---
+
+## [0.1.32] - 2026-09-11
+
+Bulk-Offboarding aus dem Geräte-Tab, Geräte-Ladefehler behoben, bessere Graph-Diagnose.
+
+### Neu
+
+- **Bulk-Offboarding aus dem Geräte-Tab**: Geräte per Checkbox (inkl. „Alle sichtbaren") auswählen und über den Button **„Offboarden"** direkt in den Offboard-Dialog übergeben — kombinierbar mit dem Gruppen-Filter (z. B. alle Geräte einer Gruppe). Die Auswahl wird server-seitig zu vollständigen Offboard-Objekten aufgelöst (Entra-Object-Id + Autopilot-Id nachgeladen). Neuer Endpoint `POST /api/offboard/resolve`. Im Read-Only-Modus ausgeblendet.
+
+### Behoben
+
+- **„Geräte konnten nicht geladen werden" (400 BadRequest)**: Intunes DeviceFE-Backend lehnte die Abfrage ab. Ursachen entfernt: `managementState` ist kein gültiges `$select`-Feld (raus), `$orderby` wird nicht mehr gesendet (Sortierung macht das Frontend), und der Namensfilter fällt bei nicht unterstütztem `startswith` automatisch auf `deviceName`-only zurück. Geräte-Endpoints nutzen jetzt `beta` (wie der Offboard-Abruf).
+- **Bessere Graph-Fehler-Diagnose**: Bei Nicht-Retry-Fehlern wird der **Graph-Fehler-Body** an die Meldung gehängt (statt nur „BadRequest") — die eigentliche Ursache steht jetzt im Log/Toast.
+- **Offboarding**: Wird eine Autopilot-Zuordnung nicht gefunden, zeigt der Dialog jetzt den **Grund** (fehlende Berechtigung vs. kein Seriennummer-Treffer), statt kommentarlos „Autopilot: –".
+
+---
+
 ## [0.1.31] - 2026-09-11
 
 Policy-Konsolidierung, Geräte-Export nach Gruppe, Gruppen-in-Gruppen, Geräte-Fixes.

README.md

@@ -105,24 +105,63 @@ Settings → Verbindung
   Scopes RO:               DeviceManagementApps.Read.All ...
 ```
 
-### Benoetigt Graph-Berechtigungen
+### Benoetigte Graph-Berechtigungen (voller Funktionsumfang)
 
-| Funktion                         | Benoetigt                                    |
+Alle Berechtigungen sind **delegiert** (Microsoft Graph) — die App handelt im Namen
-|----------------------------------|----------------------------------------------|
+des angemeldeten Admins. Der **Kern** deckt App-Management, Group-Management und
-| Apps anzeigen                    | `DeviceManagementApps.Read.All`              |
+Policies ab; die **Geräte-** und **Offboarding**-Scopes sind optional und nur für
-| Gruppen anzeigen / Mitglieder    | `GroupMember.Read.All`                       |
+den jeweiligen Tab nötig. `offline_access` liefert das Refresh-Token (Device-Code-Flow).
-| User suchen                      | `User.Read.All`                              |
+
-| Zuweisungen aendern              | `DeviceManagementApps.ReadWrite.All`         |
+**Kern — immer erforderlich (App Management, Group Management, App Report, Policies)**
-| Gruppen-Mitglieder aendern       | `GroupMember.ReadWrite.All`                  |
+
-| App-Installationszaehler (Report)| `DeviceManagementManagedDevices.Read.All` ⚠  |
+| Berechtigung | Wofür |
-| Geraete-Exportliste pro App      | `DeviceManagementManagedDevices.Read.All` ⚠  |
+|---|---|
+| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
+| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
+| `User.Read.All` | Benutzersuche, UPN-Auflösung |
+| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren |
+| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, **zuweisen (Bulk)**, konsolidieren, Git-Snapshot |
+| `DeviceManagementManagedDevices.Read.All` | App-Report (Installationszähler) und Geräte-Export pro App ⚠ |
+| `offline_access` | Refresh-Token |
 
 > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur
-> Zaehler = 0 und der Geraete-Export liefert keine Eintraege.
+> Zähler = 0 und der Geräte-Export liefert keine Einträge. Dieser Scope ist
+> zugleich die Basis für den gesamten Geräte-Tab (siehe unten).
 
-**Vollstaendige Berechtigungsliste, Redirect-URIs und ein Skript, das die
+**Geräte-Tab (optional)** — Geräte suchen, Detail-Panel, Aktionen
-App-Registrierung automatisch anlegt/konfiguriert:**
+
-[docs/App-Registration.md](docs/App-Registration.md) — inkl.
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten, Detail-Panel, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
+| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
+
+**Geräte-Offboarding (optional)** — Geräte aus Intune + Autopilot + Entra entfernen, Recovery-Keys lesen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte-Suche (Intune) |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot-Suche **und** Löschen aus Autopilot |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
+| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
+| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
+| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
+
+> **Rollen:** Das Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
+> Anmeldung zusätzlich passende **Verzeichnis-/Intune-Rollen** (z. B. *Cloud Device
+> Administrator* bzw. *Intune Administrator*) — die Scopes allein reichen nicht
+> (sonst `403`). Alle optionalen Scopes müssen außerdem in den **Read/Write-Scopes**
+> des Tools stehen (Einstellungen → Verbindung), damit sie im Token landen.
+
+**Read-Only-Variante** (reine Anzeige-App als `clientIdRo`): die `*.Read.All`-Pendants —
+`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
+`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
+`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All` und
+`DeviceManagementServiceConfig.Read.All` für den Geräte-Tab).
+
+**Redirect-URIs und ein Skript, das die App-Registrierung automatisch
+anlegt/konfiguriert:** [docs/App-Registration.md](docs/App-Registration.md) — inkl.
 [`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1).
 
 ---
@@ -134,8 +173,8 @@ App-Registrierung automatisch anlegt/konfiguriert:**
 | App Management     | Haupt-Ansicht: Apps laden, Gruppen zuweisen / entfernen     |
 | Group Management   | Mitglieder anzeigen/exportieren, Benutzer **und Gruppen** hinzufuegen, CSV-Import |
 | App Report         | Installationszaehler pro App, Geraete-Export als CSV        |
-| Geräte             | Geraete suchen, Filter (auch nach **Gruppe**), CSV-Export, Detail-Panel, Aktionen (Sync, Wipe, …) |
+| Geräte             | Geraete suchen, Filter (auch nach **Gruppe**), Spalte **Verwaltung** (Intune / Co-Managed), CSV-Export, **Bulk-Offboarding**, Detail-Panel (inkl. **Autopilot**-Status) und Aktionen (Sync, Wipe, …) |
-| Policies           | Policies exportieren/importieren (Neuanlage) und **zusammenfuehren** (Settings Catalog) |
+| Policies           | Policies exportieren/importieren (Neuanlage), **zusammenfuehren** (Settings Catalog) und **Gruppen zuweisen** (Bulk) |
 
 ---
 
@@ -246,6 +285,29 @@ neu an. Unterstuetzte Typen:
   Anlegen angezeigt; pro Konflikt waehlst du, welche Policy gewinnt
 - Voraussetzung: gleiche Plattform. Zuweisungen werden nicht uebernommen.
 
+### Gruppen zuweisen (Bulk) *(nur Read/Write)*
+
+Weist mehreren ausgewaehlten Policies **in einem Schritt** dieselben Gruppen zu —
+typuebergreifend (Settings Catalog, Compliance, Konfigurationsprofil,
+Administrative Vorlage gemischt).
+
+- Eine oder mehrere Policies per Checkbox waehlen → Button
+  **„Gruppen zuweisen"** in der Toolbar.
+- Im Dialog **Include-** und/oder **Exclude-Gruppen** einmal waehlen; zusaetzlich
+  die integrierten Include-Ziele **Alle Geraete** und **Alle Benutzer**.
+- **Zwei Modi:**
+  - **Hinzufuegen** (Default): bestehende Zuweisungen jeder Policy bleiben
+    erhalten, die gewaehlten Gruppen/Ziele kommen hinzu (dedupliziert, inkl.
+    vorhandener Filter- und Alle-Geraete/Benutzer-Ziele).
+  - **Ersetzen**: alle bisherigen Zuweisungen der Policy werden durch die
+    Auswahl ersetzt.
+- Hintergrund: Die Graph-`/assign`-Action ersetzt immer die **komplette**
+  Zuweisungsliste — der Hinzufuegen-Modus liest die bestehenden Zuweisungen
+  daher zuerst aus und schickt sie zusammen mit den neuen mit. Ist das Auslesen
+  fuer eine Policy nicht moeglich, wird sie uebersprungen (statt versehentlich
+  bestehende Zuweisungen zu loeschen).
+- Ergebnis-Toast meldet Erfolg/Fehler pro Policy.
+
 ### Benoetigt Graph-Berechtigung
 
 `DeviceManagementConfiguration.ReadWrite.All` (Import) bzw.
@@ -324,6 +386,7 @@ Intune Manager/
 | GET     | `/api/policies/exports`                    | —         | Server-Archiv der Exporte auflisten      |
 | POST    | `/api/policies/import`                     | **Write** | Policies als Neuanlage importieren       |
 | POST    | `/api/policies/consolidate`                | **Write** | Settings-Catalog-Policies zusammenfuehren |
+| POST    | `/api/policies/assign`                     | **Write** | Policies Gruppen/Alle-Geraete/-Benutzer zuweisen (Bulk, Add/Replace) |
 
 > **Read+MDM** = benoetigt zusaetzlich `DeviceManagementManagedDevices.Read.All`
 > **Read+Cfg** = benoetigt `DeviceManagementConfiguration.Read.All` (Export) bzw. `.ReadWrite.All` (Import)

Start.ps1

@@ -158,7 +158,8 @@ $script:Config = @{
     Scopes     = @($script:Settings.connection.scopes)
     ScopesRo   = @($script:Settings.connection.scopesRo)
     WebRoot    = (Join-Path $root "www")
-    ReportDir  = (Join-Path $env:TEMP "IntuneAppManager-Reports")
+    # Plattformneutrales Temp-Verzeichnis ($env:TEMP ist auf macOS/Linux leer).
+    ReportDir  = (Join-Path ([System.IO.Path]::GetTempPath()) "IntuneAppManager-Reports")
 }
 
 if (-not (Test-Path $script:Config.ReportDir)) {
@@ -189,7 +190,7 @@ $script:State = [pscustomobject]@{
     Session        = @()      # geplante Zuweisungen
 }
 
-$script:ToolVersion = "0.1.31"
+$script:ToolVersion = "0.1.36"
 $script:BuildStamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
 
 Write-Host ""
@@ -206,7 +207,12 @@ Write-Host ""
 # das alte Fenster bedient weiter mit altem Code. Darum alle anderen Start.ps1-
 # Prozesse DIESES Pfads vorher beenden, damit ein Neustart wirklich neu laedt.
 # ============================================================
-try {
+# Nur auf Windows: die WMI-basierte Instanz-Erkennung (Win32_Process) gibt es
+# nur dort. Auf macOS/Linux uebernimmt das der Listener selbst (Port belegt ->
+# Fehler beim Start), ein manueller Neustart genuegt.
+$isWin = ($env:OS -eq 'Windows_NT') -or ($PSVersionTable.PSVersion.Major -lt 6) -or $IsWindows
+if ($isWin) {
+  try {
     $thisScript = $PSCommandPath
     if ([string]::IsNullOrWhiteSpace($thisScript)) { $thisScript = Join-Path $PSScriptRoot 'Start.ps1' }
     # Nur echte Server-Instanzen treffen: per -File gestartet UND auf diesen
@@ -220,8 +226,9 @@ try {
         catch { Write-Host "   konnte PID $($p.ProcessId) nicht beenden: $($_.Exception.Message)" -ForegroundColor DarkYellow }
     }
     if ($stale.Count -gt 0) { Start-Sleep -Milliseconds 800 }  # kurz warten bis der Port frei ist
-} catch {
+  } catch {
     Write-Host " (Konnte alte Instanzen nicht pruefen: $($_.Exception.Message))" -ForegroundColor DarkGray
+  }
 }
 
 $url = "http://localhost:$Port/"
@@ -232,7 +239,15 @@ Write-Host " Beenden:    Ctrl+C" -ForegroundColor DarkGray
 Write-Host ""
 
 if (-not $NoBrowser) {
-    Start-Process $url
+    # Browser plattformneutral oeffnen.
+    try {
+        if ($isWin)        { Start-Process $url }
+        elseif ($IsMacOS)  { & /usr/bin/open $url }
+        elseif ($IsLinux)  { & xdg-open $url }
+        else               { Start-Process $url }
+    } catch {
+        Write-Host " (Browser konnte nicht automatisch geoeffnet werden - bitte $url manuell aufrufen.)" -ForegroundColor DarkGray
+    }
 }
 
 Start-WebServer -Port $Port

docker/Dockerfile

@@ -0,0 +1,37 @@
+# Intune Manager - Test-Image (self-hosted).
+# WICHTIG: Der bestehende App-/Client-Teil wird NICHT veraendert - Start.ps1, src/
+# und www/ werden nur unveraendert ins Image kopiert. Die einzigen Container-
+# Spezifika (Bridge fuer den localhost-Listener, Datenpfad, Login) laufen ueber
+# Env-Variablen bzw. das Entrypoint-Script - ohne Codeaenderung.
+FROM mcr.microsoft.com/powershell:7.4-debian-12
+
+# nginx = interner Reverse-Proxy, der den Host-Header auf "localhost" umschreibt
+#         (HttpListener-Prefix http://localhost:8077/ bedient nur Host: localhost).
+# git   = fuer das optionale Policy-Git-Snapshot-Feature.
+RUN apt-get update \
+ && apt-get install -y --no-install-recommends nginx git ca-certificates \
+ && rm -rf /var/lib/apt/lists/* \
+ && pwsh -NoProfile -Command "Install-Module Microsoft.Graph.Authentication -Scope AllUsers -Force"
+
+WORKDIR /app
+
+# Bestehende App unveraendert ins Image kopieren (Build-Kontext = Repo-Root).
+COPY Start.ps1 ./
+COPY src/ ./src/
+COPY www/ ./www/
+
+# Interner nginx-Reverse-Proxy (Host-Rewrite) + Entrypoint (neu, nur fuer Container).
+COPY docker/nginx.conf /etc/nginx/nginx.conf
+COPY docker/docker-entrypoint.sh /usr/local/bin/docker-entrypoint.sh
+RUN chmod +x /usr/local/bin/docker-entrypoint.sh
+
+# Datenverzeichnis: Get-AppDataDir nutzt auf Linux $XDG_CONFIG_HOME ->
+# Settings/Policy-Exporte landen im Volume /data. Kein Codeeingriff noetig.
+ENV XDG_CONFIG_HOME=/data \
+    APP_PORT=8077 \
+    BRIDGE_PORT=8080
+
+VOLUME /data
+EXPOSE 8080
+
+ENTRYPOINT ["/usr/local/bin/docker-entrypoint.sh"]

docker/README.md

@@ -0,0 +1,76 @@
+# Intune Manager - Docker-Test (self-hosted)
+
+Test-Aufbau, um den Intune Manager als Container zu verproben. **Der bestehende
+App-/Client-Teil (`Start.ps1`, `src/`, `www/`) wird nicht verändert** — er wird nur
+unverändert ins Image kopiert. Container-Spezifika laufen über Env-Variablen und ein
+Entrypoint-Script.
+
+> Kein Caddy/TLS enthalten — der **vorhandene Reverse-Proxy** zieht den
+> veröffentlichten Port (`8080`) an. HTTPS macht der Proxy.
+
+## Wie es funktioniert
+- Die App bindet unverändert auf `http://localhost:8077/` (nur containerintern) und
+  bedient — bedingt durch .NET-`HttpListener` — **nur Requests mit `Host: localhost`**.
+- Ein **interner nginx** (Port 8080) leitet auf die App weiter und schreibt dabei den
+  **`Host`-Header auf `localhost`** um. Ohne dieses Rewrite käme bei Zugriff über IP/Proxy
+  ein `404`. Der App-Code bleibt unangetastet.
+- Settings/Policy-Exporte liegen im Volume `/data` (`XDG_CONFIG_HOME=/data`, wird von
+  `Get-AppDataDir` auf Linux automatisch genutzt).
+
+## Bauen & starten
+```bash
+docker compose -f docker/docker-compose.yml up --build -d
+```
+Logs ansehen:
+```bash
+docker compose -f docker/docker-compose.yml logs -f
+```
+Erwartet: „Intune Manager - Web Edition" und „URL: http://localhost:8077/".
+
+Den Reverse-Proxy auf `http://<docker-host>:8080` zeigen lassen (reiner HTTP-Proxy,
+keine WebSockets/Callbacks nötig).
+
+## Erststart: Verbindung konfigurieren
+Beim ersten Start ist noch kein Tenant hinterlegt. Zwei Wege:
+
+- **UI:** Seite öffnen → *Einstellungen* → **Tenant-ID**, **Client-ID** (Read/Write),
+  optional **Client-ID (Read-Only)** und **Scopes** eintragen und speichern. Landet in
+  `/data/IntuneAppManager-Web/settings.json`.
+- **oder** eine vorhandene `settings.json` ins Volume legen:
+  ```bash
+  docker cp settings.json intune-manager-test:/data/IntuneAppManager-Web/settings.json
+  docker compose -f docker/docker-compose.yml restart
+  ```
+
+## Login (Device-Code)
+Der interaktive „Verbinden"-Button nutzt WAM/Loopback und **funktioniert im Container
+nicht** — das ist erwartet. Für den Test den bereits vorhandenen **Device-Code-Flow**
+per `curl` anstoßen (Host = euer Reverse-Proxy oder `http://<docker-host>:8080`):
+
+```bash
+curl -s -X POST http://<host>/api/connect/start
+```
+Antwort enthält `code` und `urlComplete`. Dann:
+1. `urlComplete` im Browser öffnen und als Admin anmelden.
+2. Status pollen, bis verbunden:
+   ```bash
+   curl -s http://<host>/api/status
+   ```
+   (Feld `connected` wird `true`.)
+3. Die UI im Browser **neu laden** → jetzt verbunden. Geräte/Gruppen/Policies laden
+   zum Verifizieren.
+
+## Stoppen / Aufräumen
+```bash
+docker compose -f docker/docker-compose.yml down          # Daten bleiben im Volume
+docker compose -f docker/docker-compose.yml down -v       # inkl. Daten löschen
+```
+
+## Wichtige Hinweise (für den echten Einsatz)
+- **Kein eigener UI-Login und geteilte Sitzung:** Wer die URL erreicht, kann den Login
+  auslösen; die verbundene Graph-Sitzung gilt prozessweit. Die Instanz **zwingend hinter
+  Zugangsschutz** stellen (Reverse-Proxy-Auth / Netzsegment / VPN). Eine Instanz =
+  eine Team-Sitzung, kein sauberes Multi-Admin.
+- Reports liegen unter `/tmp` (nicht persistent) — für den Test ausreichend.
+- Das ist ein **Test-Setup**. Echtes Mehrbenutzer (Login pro Admin) wäre ein separater
+  Ausbau (Auth-Code-Flow + Sitzungs-Isolation).

docker/docker-compose.yml

@@ -0,0 +1,22 @@
+# Intune Manager - Test-Compose (self-hosted).
+# Kein Caddy/TLS: der bestehende Reverse-Proxy zieht den veroeffentlichten Port an.
+services:
+  intune-manager:
+    build:
+      context: ..                 # Build-Kontext = Repo-Root (fuer COPY Start.ps1/src/www)
+      dockerfile: docker/Dockerfile
+    image: intune-manager-test
+    container_name: intune-manager-test
+    ports:
+      # linke Zahl = Host-Port. Frei waehlen, falls belegt (z. B. "8477:8080").
+      - "8080:8080"
+    volumes:
+      # Named Volume (portabel). Alternativ Bind-Mount: "/pfad/auf/nas/data:/data".
+      - im-data:/data
+    environment:
+      - XDG_CONFIG_HOME=/data
+      - APP_PORT=8077
+    restart: unless-stopped
+
+volumes:
+  im-data:

docker/docker-entrypoint.sh

@@ -0,0 +1,30 @@
+#!/usr/bin/env bash
+# Startet die App unveraendert (bindet auf localhost:APP_PORT) und stellt einen
+# internen nginx davor, der den Host-Header auf "localhost" umschreibt.
+#
+# WARUM nginx statt socat: .NET-HttpListener bedient den Prefix
+# http://localhost:APP_PORT/ NUR bei Host: localhost. socat (reiner TCP-Proxy)
+# reicht den originalen Host-Header durch -> von aussen 404. nginx schreibt den
+# Host-Header um -> jeder Zugriffsweg funktioniert, ohne den App-Code zu aendern.
+set -e
+
+: "${APP_PORT:=8077}"
+
+# App im Hintergrund starten. -NoBrowser: im Container kein Desktop/open.
+pwsh -NoProfile -File /app/Start.ps1 -NoBrowser -Port "${APP_PORT}" &
+APP_PID=$!
+
+# Best-effort warten, bis der App-Listener antwortet (IPv6 oder IPv4).
+# nginx wuerde sonst kurz 502 liefern, bis die App oben ist.
+for i in $(seq 1 30); do
+  if (exec 3<>"/dev/tcp/::1/${APP_PORT}") 2>/dev/null; then exec 3>&-; break; fi
+  if (exec 3<>"/dev/tcp/127.0.0.1/${APP_PORT}") 2>/dev/null; then exec 3>&-; break; fi
+  kill -0 "$APP_PID" 2>/dev/null || { echo "[entrypoint] App-Prozess beendet - Abbruch."; wait "$APP_PID"; exit $?; }
+  sleep 1
+done
+
+echo "[entrypoint] Starte nginx (Host-Rewrite -> localhost) auf :8080"
+nginx -g 'daemon off;' &
+
+# Am Leben des App-Prozesses haengen (Container endet, wenn die App endet).
+wait "$APP_PID"

docker/nginx.conf

@@ -0,0 +1,31 @@
+# Interner Reverse-Proxy im Container.
+# Zweck: den Host-Header auf "localhost" umschreiben. Die App bindet den
+# HttpListener-Prefix http://localhost:8077/ und bedient NUR Requests mit
+# Host: localhost - ohne dieses Rewrite kaeme von aussen 404.
+worker_processes 1;
+events { worker_connections 1024; }
+
+http {
+    access_log /dev/stdout;
+    error_log  /dev/stderr;
+
+    # App-Listener: bevorzugt IPv6-Loopback (so bindet HttpListener "localhost"
+    # im Container), IPv4 als Fallback.
+    upstream imapp {
+        server [::1]:8077;
+        server 127.0.0.1:8077 backup;
+    }
+
+    server {
+        listen 8080;
+        listen [::]:8080;
+
+        location / {
+            proxy_pass http://imapp;
+            proxy_set_header Host localhost;   # <- der entscheidende Punkt
+            proxy_http_version 1.1;
+            proxy_set_header Connection "";
+            proxy_read_timeout 300s;           # Device-Code-Login/Graph koennen dauern
+        }
+    }
+}

docs/App-Registration.md

@@ -38,7 +38,8 @@ Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) gen
 
 | Berechtigung | Wofür |
 |---|---|
-| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen |
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
 | `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
 
@@ -51,7 +52,7 @@ entfernen, Recovery-Keys lesen) genutzt wird:
 |---|---|
 | `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
-| `DeviceManagementServiceConfig.ReadWrite.All` | Gerät aus Autopilot löschen |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot durchsuchen und Gerät aus Autopilot löschen |
 | `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
 | `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
 
@@ -84,10 +85,15 @@ sein — sonst scheitert der erste Login (`AADSTS500113` bzw. `AADSTS50011`):
 2. **Redirect-URIs** unter *Mobilgerät- und Desktopanwendungen*:
    ```
    https://login.microsoftonline.com/common/oauth2/nativeclient
+   http://localhost
    ms-appx-web://Microsoft.AAD.BrokerPlugin/<CLIENT-ID>
    ```
    - Zeile 1 → **Device-Code-Flow**
-   - Zeile 2 → **WAM-Broker** (Windows-Anmeldefenster); `<CLIENT-ID>` ist die
+   - Zeile 2 → **Loopback / interaktiver Browser-Login** — nötig auf **macOS/Linux**
+     (und überall, wo kein WAM-Broker läuft). Ohne diese URI schlägt der Login mit
+     `AADSTS50011` fehl (`http://localhost:<Port>` passt nicht). `http://localhost`
+     ist portagnostisch, deckt also den zufälligen Port ab.
+   - Zeile 3 → **WAM-Broker** (Windows-Anmeldefenster); `<CLIENT-ID>` ist die
      AppId der Registrierung selbst.
 3. **Multi-Tenant:** Wird dieselbe App gegen fremde Tenants genutzt, muss
    `signInAudience` auf *Accounts in any organizational directory*

docs/Setup-AppRegistration.ps1

@@ -8,7 +8,8 @@
     AADSTS500113 / AADSTS50011 scheitert:
       * Delegierte Microsoft-Graph-Berechtigungen (nach Bedarf: RW, RO, Geraete)
       * "Oeffentliche Clientflows zulassen" (isFallbackPublicClient = true)
-      * Redirect-URIs fuer Device-Code (nativeclient) und WAM-Broker
+      * Redirect-URIs fuer Device-Code (nativeclient), Loopback/Browser
+        (http://localhost, noetig auf macOS/Linux) und WAM-Broker
       * optional Admin-Consent
 
     Nutzt nur Microsoft.Graph.Authentication (Invoke-MgGraphRequest) — dieselbe
@@ -33,7 +34,9 @@
 
 .PARAMETER IncludeDeviceActions
     Nimmt zusaetzlich die Berechtigungen fuer den Geraete-Tab auf
-    (Read + ReadWrite + PrivilegedOperations = Sync/Reboot/Lock/Wipe/Retire).
+    (Read + ReadWrite + PrivilegedOperations = Sync/Reboot/Lock/Wipe/Retire)
+    sowie DeviceManagementServiceConfig.Read.All fuer den Autopilot-Status
+    im Detail-Panel.
 
 .PARAMETER GrantAdminConsent
     Erteilt direkt tenantweiten Admin-Consent fuer die gesetzten Scopes.
@@ -78,12 +81,16 @@ $perms = if ($ReadOnly) {
       'DeviceManagementApps.ReadWrite.All','DeviceManagementConfiguration.ReadWrite.All','offline_access')
 }
 if ($IncludeDeviceActions) {
+    # DeviceManagementServiceConfig.Read.All: Autopilot-Status im Geraete-Detail
+    # (Profil-Zuweisung / letzter Kontakt) — ansonsten bleibt das Feld leer.
     $perms += if ($ReadOnly) {
-        @('DeviceManagementManagedDevices.Read.All')
+        @('DeviceManagementManagedDevices.Read.All',
+          'DeviceManagementServiceConfig.Read.All')
     } else {
         @('DeviceManagementManagedDevices.Read.All',
           'DeviceManagementManagedDevices.ReadWrite.All',
-          'DeviceManagementManagedDevices.PrivilegedOperations.All')
+          'DeviceManagementManagedDevices.PrivilegedOperations.All',
+          'DeviceManagementServiceConfig.Read.All')
     }
 }
 if ($IncludeOffboarding) {
@@ -99,6 +106,11 @@ if ($IncludeOffboarding) {
     )
 }
 $perms = $perms | Select-Object -Unique
+# ServiceConfig: ReadWrite (Offboarding) schliesst Read (Autopilot-Anzeige) ein
+# -> die Read-Variante nicht zusaetzlich anfordern.
+if ($perms -contains 'DeviceManagementServiceConfig.ReadWrite.All') {
+    $perms = @($perms | Where-Object { $_ -ne 'DeviceManagementServiceConfig.Read.All' })
+}
 
 # --- Verbinden ----------------------------------------------------------------
 Write-Host "[1/6] Mit Microsoft Graph verbinden (Admin noetig)..." -ForegroundColor Cyan
@@ -149,6 +161,7 @@ if ($ClientId) {
         requiredResourceAccess  = $requiredResourceAccess
         publicClient            = @{ redirectUris = @(
             'https://login.microsoftonline.com/common/oauth2/nativeclient'
+            'http://localhost'
             "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
         ) }
     }
@@ -173,6 +186,7 @@ if ($ClientId) {
 
     $patch = @{ publicClient = @{ redirectUris = @(
         'https://login.microsoftonline.com/common/oauth2/nativeclient'
+        'http://localhost'
         "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
     ) } }
     Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/applications/$objId" `

installer/build-local.ps1

@@ -12,7 +12,7 @@ if (Test-Path "$x64Dotnet\dotnet.exe") {
     $env:DOTNET_ROOT = "C:\Program Files\dotnet"
 }
 
-$version      = "0.1.31"
+$version      = "0.1.36"
 $src          = "\\Mac\Home\ClaudePRJ\Intune Manager"
 $stage        = "$env:TEMP\IntuneManagerStage"
 $installerDir = "$src\installer"

src/Api.ps1

@@ -21,6 +21,7 @@ function Invoke-ApiHandler {
         "POST /api/settings/test"    { return Test-SettingsEndpoint -Body $Body }
         "POST /api/settings/logo"    { return Save-LogoEndpoint -Body $Body }
         "DELETE /api/settings/logo"  { return Remove-LogoEndpoint }
+        "GET /api/update/check"      { return Get-UpdateCheckEndpoint }
         "POST /api/connect"          { return Invoke-ConnectEndpoint }
         "POST /api/connect/token"    { return Invoke-ConnectWithTokenEndpoint -Body $Body }
         "POST /api/connect/start"    { return Start-DeviceCodeConnect }
@@ -63,6 +64,7 @@ function Invoke-ApiHandler {
         "POST /api/pickfolder"            { return Invoke-FolderPickerEndpoint -Body $Body }
 
         "GET /api/offboard/search"        { return Search-OffboardDevicesEndpoint -Query $Query }
+        "POST /api/offboard/resolve"      { return Get-OffboardResolveEndpoint -Body $Body }
         "POST /api/offboard/keys"         { return Get-OffboardKeysEndpoint -Body $Body }
         "POST /api/offboard/execute"      { return Invoke-OffboardExecuteEndpoint -Body $Body }
     }
@@ -135,6 +137,83 @@ function Invoke-ApiHandler {
     return $null
 }
 
+# ============================================================
+# Update-Check (neueste Release-Version von Gitea vergleichen)
+# ============================================================
+
+# Semver-Vergleich: 1 wenn A>B, -1 wenn A<B, 0 gleich. Fuehrendes 'v' und
+# Pre-Release/Build-Suffixe werden ignoriert; fehlende Teile zaehlen als 0.
+function Compare-SemVer {
+    param([string]$A, [string]$B)
+    $clean = {
+        param($s)
+        $s = ([string]$s).Trim().TrimStart('v','V')
+        $s = ($s -split '[-+ ]')[0]
+        @($s -split '\.' | ForEach-Object { [int]([regex]::Match($_, '\d+').Value -as [int]) })
+    }
+    $pa = & $clean $A
+    $pb = & $clean $B
+    $len = [Math]::Max($pa.Count, $pb.Count)
+    for ($i = 0; $i -lt $len; $i++) {
+        $x = if ($i -lt $pa.Count) { [int]$pa[$i] } else { 0 }
+        $y = if ($i -lt $pb.Count) { [int]$pb[$i] } else { 0 }
+        if ($x -gt $y) { return 1 }
+        if ($x -lt $y) { return -1 }
+    }
+    return 0
+}
+
+# Prueft die neueste Release-Version. Quelle standardmaessig das Gitea-Repo;
+# ueber Settings.update.apiUrl / .token ueberschreibbar (falls Repo privat).
+# Braucht KEINE Graph-Verbindung. Fehler werden still zurueckgegeben (kein Banner).
+function Get-UpdateCheckEndpoint {
+    $current = [string]$script:ToolVersion
+    $out = @{ current = $current; latest = ''; updateAvailable = $false; releaseUrl = ''; error = '' }
+
+    $api   = 'https://git.wende.it/api/v1/repos/marco/Intune-Manager/releases/latest'
+    $token = ''
+    try {
+        if ($script:Settings.update) {
+            if ($script:Settings.update.apiUrl) { $api   = [string]$script:Settings.update.apiUrl }
+            if ($script:Settings.update.token)  { $token = [string]$script:Settings.update.token }
+        }
+    } catch {}
+
+    $headers = @{ 'User-Agent' = 'IntuneManager' }
+    if ($token) { $headers['Authorization'] = "token $token" }
+
+    try { [Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12 } catch {}
+
+    # Proxy: Hinter authentifizierten Unternehmens-Proxys (NTLM/Kerberos) scheitert
+    # Invoke-RestMethod sonst mit "407 Proxyauthentifizierung erforderlich", weil
+    # standardmaessig keine Anmeldeinformationen an den Proxy gesendet werden. Die
+    # angemeldeten Windows-Credentials an den (System-)Proxy durchreichen. Optional
+    # laesst sich ein expliziter Proxy ueber Settings.update.proxy setzen.
+    $proxyArgs = @{}
+    try {
+        $proxyUrl = ''
+        if ($script:Settings.update -and $script:Settings.update.proxy) { $proxyUrl = [string]$script:Settings.update.proxy }
+        if ($proxyUrl) {
+            $proxyArgs['Proxy'] = $proxyUrl
+            $proxyArgs['ProxyUseDefaultCredentials'] = $true
+        } elseif ([System.Net.WebRequest]::DefaultWebProxy) {
+            [System.Net.WebRequest]::DefaultWebProxy.Credentials = [System.Net.CredentialCache]::DefaultCredentials
+        }
+    } catch {}
+
+    try {
+        $rel = Invoke-RestMethod -Uri $api -Headers $headers -Method GET -TimeoutSec 8 @proxyArgs
+        $latest = ([string]$rel.tag_name).TrimStart('v','V')
+        $out.latest          = $latest
+        $out.releaseUrl      = [string]$rel.html_url
+        $out.updateAvailable = ((Compare-SemVer $latest $current) -gt 0)
+    } catch {
+        $out.error = $_.Exception.Message
+        Write-Host "[UPDATE] Versions-Check fehlgeschlagen: $($_.Exception.Message)" -ForegroundColor DarkGray
+    }
+    return $out
+}
+
 # ============================================================
 # Status & Connection
 # ============================================================
@@ -1649,7 +1728,7 @@ function Get-GroupDevicesExportEndpoint {
         return @{ ok = $true; groupId = $GroupId; groupName = $groupName; userCount = 0; items = @(); count = 0; resolvedMs = [int]$sw.ElapsedMilliseconds }
     }
 
-    $select    = 'id,deviceName,userDisplayName,userPrincipalName,operatingSystem,osVersion,complianceState,serialNumber,model,manufacturer,lastSyncDateTime,enrolledDateTime'
+    $select    = 'id,deviceName,userDisplayName,userPrincipalName,operatingSystem,osVersion,complianceState,serialNumber,model,manufacturer,lastSyncDateTime,enrolledDateTime,managementAgent'
     $batchSize = 20
     $devSeen   = @{}
     $items     = [System.Collections.Generic.List[object]]::new()
@@ -1696,6 +1775,8 @@ function Get-GroupDevicesExportEndpoint {
                         OS                = [string]$d.operatingSystem
                         OSVersion         = [string]$d.osVersion
                         ComplianceState   = [string]$d.complianceState
+                        ManagementAgent   = [string]$d.managementAgent
+                        ManagementType    = Get-ManagementType ([string]$d.managementAgent)
                         SerialNumber      = [string]$d.serialNumber
                         Model             = [string]$d.model
                         Manufacturer      = [string]$d.manufacturer
@@ -1779,17 +1860,28 @@ function Get-UserMemberOfEndpoint {
 # Devices
 # ============================================================
 
+# Verwaltungsart aus dem Graph-Feld 'managementAgent' ableiten.
+# 'configurationManagerClientMdm' / 'configurationManagerClientMdmEas' -> Co-Managed
+# (ConfigMgr + Intune), alles andere -> reines Intune (MDM).
+function Get-ManagementType {
+    param([string]$Agent)
+    if ($Agent -match 'configurationManager') { return 'Co-Managed' }
+    return 'Intune'
+}
+
 function Search-DevicesEndpoint {
     param($Query)
     $err = Test-Connected
     if ($err) { return $err }
 
-    $q          = [string]$Query.q
+    $q          = ([string]$Query.q) -replace "'", "''"   # OData-Escape fuer Apostroph
     $os         = [string]$Query.os
     $compliance = [string]$Query.compliance
     $top        = 50
 
-    $select = 'id,deviceName,userDisplayName,userPrincipalName,operatingSystem,osVersion,complianceState,lastSyncDateTime,managementState,serialNumber,model,manufacturer,enrolledDateTime'
+    # HINWEIS: 'managementState' ist KEIN gueltiges $select-Feld auf managedDevices
+    # -> fuehrt zu 400 BadRequest. Bewusst weggelassen.
+    $select = 'id,deviceName,userDisplayName,userPrincipalName,operatingSystem,osVersion,complianceState,lastSyncDateTime,serialNumber,model,manufacturer,enrolledDateTime,managementAgent'
 
     # Ohne Suchbegriff: alle Geräte (erste Seite)
     # Mit Suchbegriff: Graph unterstuetzt startswith nur auf deviceName/userDisplayName/userPrincipalName.
@@ -1798,22 +1890,36 @@ function Search-DevicesEndpoint {
     $snItems   = @()
 
     if ($q -and $q.Length -ge 2) {
-        $filters = @()
+        $osComp = @()
-        $nameFilter = "(startswith(deviceName,'$q') or startswith(userDisplayName,'$q') or startswith(userPrincipalName,'$q'))"
+        if ($os)         { $osComp += "operatingSystem eq '$os'" }
-        $filters += $nameFilter
+        if ($compliance) { $osComp += "complianceState eq '$compliance'" }
-        if ($os)         { $filters += "operatingSystem eq '$os'" }
+        # Voller Namensfilter vs. nur deviceName. Manche Intune-Backends (DeviceFE)
-        if ($compliance) { $filters += "complianceState eq '$compliance'" }
+        # unterstuetzen startswith NUR auf deviceName -> bei "Unsupported parameter"
-        $filterStr = '$filter=' + [uri]::EscapeDataString(($filters -join ' and ')) + '&'
+        # (400) auf deviceName-only zurueckfallen. Kein $orderby mit $filter.
-        $uri = "https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?${filterStr}`$select=$select&`$top=$top&`$orderby=deviceName"
+        $nameVariants = @(
-        $resp = Invoke-MgGraphRequestRetry -Uri $uri -Method GET
+            "(startswith(deviceName,'$q') or startswith(userDisplayName,'$q') or startswith(userPrincipalName,'$q'))",
-        $nameItems = @($resp.value)
+            "startswith(deviceName,'$q')"
+        )
+        for ($vi = 0; $vi -lt $nameVariants.Count; $vi++) {
+            $filters   = @($nameVariants[$vi]) + $osComp
+            $filterStr = '$filter=' + [uri]::EscapeDataString(($filters -join ' and ')) + '&'
+            $uri = "https://graph.microsoft.com/beta/deviceManagement/managedDevices?${filterStr}`$select=$select&`$top=$top"
+            try {
+                $resp = Invoke-MgGraphRequestRetry -Uri $uri -Method GET
+                $nameItems = @($resp.value)
+                break
+            } catch {
+                if ($vi -eq $nameVariants.Count - 1) { throw }   # letzter Versuch -> durchreichen
+                Write-Host "  [DEVICES] Namensfilter nicht unterstuetzt -> Fallback auf deviceName-only" -ForegroundColor DarkYellow
+            }
+        }
 
         # Seriennummer: exakter Vergleich (Graph unterstuetzt kein startswith auf serialNumber)
         $snFilters = @("serialNumber eq '$q'")
         if ($os)         { $snFilters += "operatingSystem eq '$os'" }
         if ($compliance) { $snFilters += "complianceState eq '$compliance'" }
         $snFilter = '$filter=' + [uri]::EscapeDataString(($snFilters -join ' and ')) + '&'
-        $snUri = "https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?${snFilter}`$select=$select&`$top=10"
+        $snUri = "https://graph.microsoft.com/beta/deviceManagement/managedDevices?${snFilter}`$select=$select&`$top=10"
         try {
             $snResp = Invoke-MgGraphRequestRetry -Uri $snUri -Method GET
             $snItems = @($snResp.value)
@@ -1823,7 +1929,9 @@ function Search-DevicesEndpoint {
         if ($os)         { $filters += "operatingSystem eq '$os'" }
         if ($compliance) { $filters += "complianceState eq '$compliance'" }
         $filterStr = if ($filters.Count -gt 0) { '$filter=' + [uri]::EscapeDataString(($filters -join ' and ')) + '&' } else { '' }
-        $uri = "https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?${filterStr}`$select=$select&`$top=$top&`$orderby=deviceName"
+        # Kein $orderby: das Intune-DeviceFE-Backend lehnt es (mit/ohne Filter) teils ab.
+        # Die Sortierung macht ohnehin das Frontend.
+        $uri = "https://graph.microsoft.com/beta/deviceManagement/managedDevices?${filterStr}`$select=$select&`$top=$top"
         $resp = Invoke-MgGraphRequestRetry -Uri $uri -Method GET
         $nameItems = @($resp.value)
     }
@@ -1845,6 +1953,8 @@ function Search-DevicesEndpoint {
             ComplianceState  = $d.complianceState
             LastSync         = ConvertTo-IsoDate $d.lastSyncDateTime
             ManagementState  = $d.managementState
+            ManagementAgent  = [string]$d.managementAgent
+            ManagementType   = Get-ManagementType ([string]$d.managementAgent)
             SerialNumber     = $d.serialNumber
             Model            = $d.model
             Manufacturer     = $d.manufacturer
@@ -1859,12 +1969,38 @@ function Get-DeviceEndpoint {
     $err = Test-Connected
     if ($err) { return $err }
 
-    $select = 'id,deviceName,userDisplayName,userPrincipalName,operatingSystem,osVersion,complianceState,lastSyncDateTime,managementState,serialNumber,model,manufacturer,enrolledDateTime,imei,wiFiMacAddress,azureADDeviceId,joinType,deviceEnrollmentType,managedDeviceOwnerType,totalStorageSpaceInBytes,freeStorageSpaceInBytes'
+    # 'managementState' entfernt: kein gueltiges $select-Feld auf managedDevices (400).
-    $d = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/v1.0/deviceManagement/managedDevices/$DeviceId`?`$select=$select" -Method GET
+    $select = 'id,deviceName,userDisplayName,userPrincipalName,operatingSystem,osVersion,complianceState,lastSyncDateTime,serialNumber,model,manufacturer,enrolledDateTime,imei,wiFiMacAddress,azureADDeviceId,joinType,deviceEnrollmentType,managedDeviceOwnerType,managementAgent,totalStorageSpaceInBytes,freeStorageSpaceInBytes'
+    $d = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices/$DeviceId`?`$select=$select" -Method GET
 
     $totalGB = if ($d.totalStorageSpaceInBytes) { [math]::Round($d.totalStorageSpaceInBytes / 1GB, 1) } else { $null }
     $freeGB  = if ($d.freeStorageSpaceInBytes)  { [math]::Round($d.freeStorageSpaceInBytes  / 1GB, 1) } else { $null }
 
+    # Autopilot-Identity per Seriennummer nachladen (nur Windows, fehlertolerant).
+    # HINWEIS: Ein echtes "Import-/Registrierungsdatum" liefert Graph nicht; verfuegbar
+    # sind nur Profil-Zuweisung (deploymentProfileAssignedDateTime) und letzter Kontakt.
+    $inAutopilot     = $false
+    $apProfileAssign = $null
+    $apLastContact   = $null
+    $sn = [string]$d.serialNumber
+    if ($sn -and ([string]$d.operatingSystem).ToLower() -eq 'windows') {
+        try {
+            $snEsc  = $sn -replace "'", "''"
+            $apFilt = [Uri]::EscapeDataString("contains(serialNumber,'$snEsc')")
+            $apSel  = 'id,serialNumber,deploymentProfileAssignedDateTime,lastContactedDateTime,enrollmentState'
+            $apUri  = "https://graph.microsoft.com/beta/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$apFilt&`$select=$apSel&`$top=1"
+            $apResp = Invoke-MgGraphRequestRetry -Uri $apUri -Method GET
+            $autop  = @($apResp.value)[0]
+            if ($autop) {
+                $inAutopilot     = $true
+                $apProfileAssign = ConvertTo-IsoDate $autop.deploymentProfileAssignedDateTime
+                $apLastContact   = ConvertTo-IsoDate $autop.lastContactedDateTime
+            }
+        } catch {
+            Write-Host "  [DEVICE] Autopilot-Lookup (SN=$sn): $($_.Exception.Message)" -ForegroundColor DarkYellow
+        }
+    }
+
     return @{
         Id               = $d.id
         DeviceName       = $d.deviceName
@@ -1875,6 +2011,8 @@ function Get-DeviceEndpoint {
         ComplianceState  = $d.complianceState
         LastSync         = ConvertTo-IsoDate $d.lastSyncDateTime
         ManagementState  = $d.managementState
+        ManagementAgent  = [string]$d.managementAgent
+        ManagementType   = Get-ManagementType ([string]$d.managementAgent)
         SerialNumber     = $d.serialNumber
         Model            = $d.model
         Manufacturer     = $d.manufacturer
@@ -1887,6 +2025,9 @@ function Get-DeviceEndpoint {
         OwnerType        = $d.managedDeviceOwnerType
         TotalStorageGB   = $totalGB
         FreeStorageGB    = $freeGB
+        InAutopilot            = $inAutopilot
+        AutopilotProfileAssigned = $apProfileAssign
+        AutopilotLastContacted   = $apLastContact
     }
 }
 
@@ -2699,11 +2840,28 @@ function Update-AppEndpoint {
 # nie heraus — deshalb der Backend-Dialog. Laeuft in einem STA-Runspace, weil
 # WinForms-Dialoge zwingend STA brauchen. Owner-Form mit TopMost holt den Dialog
 # vor das Browser-Fenster.
+# macOS-nativer Auswahldialog via osascript. Liefert den POSIX-Pfad oder ''
+# (Abbruch). Der Windows-Filter-String wird ignoriert (AppleScript kennt ihn nicht).
+function Show-MacChooser {
+    param([ValidateSet('file','folder')][string]$Kind, [string]$Title = '')
+    $prompt = ($Title -replace '"', '\"')
+    $verb   = if ($Kind -eq 'folder') { 'choose folder' } else { 'choose file' }
+    $script = "POSIX path of ($verb with prompt `"$prompt`")"
+    try {
+        $out = & /usr/bin/osascript -e $script 2>$null
+        return ([string]$out).Trim()
+    } catch { return '' }
+}
+
 function Show-OpenFileDialog {
     param(
         [string]$Filter = "Alle Dateien (*.*)|*.*",
         [string]$Title  = "Datei auswaehlen"
     )
+    if (-not (Test-IsWindows)) {
+        if ($IsMacOS) { return (Show-MacChooser -Kind 'file' -Title $Title) }
+        throw 'Datei-Dialog wird auf dieser Plattform nicht unterstuetzt - Pfad bitte manuell eingeben.'
+    }
     # Eigener powershell.exe -STA Prozess: in einem In-Process-Runspace blitzt
     # der Dialog nur kurz auf (keine echte Windows-Message-Pump, er bleibt nicht
     # modal). Ein separater STA-Konsolen-Prozess hat einen vollwertigen
@@ -2765,6 +2923,10 @@ function Invoke-FilePickerEndpoint {
 function Show-OpenFolderDialog {
     # Wie Show-OpenFileDialog, aber FolderBrowserDialog in einem STA-Prozess.
     param([string]$Title = "Ordner auswaehlen")
+    if (-not (Test-IsWindows)) {
+        if ($IsMacOS) { return (Show-MacChooser -Kind 'folder' -Title $Title) }
+        throw 'Ordner-Dialog wird auf dieser Plattform nicht unterstuetzt - Pfad bitte manuell eingeben.'
+    }
     $tEsc = $Title -replace "'", "''"
     $inner = @"
 `$ProgressPreference = 'SilentlyContinue'
@@ -3585,3 +3747,198 @@ footer code{font-family:ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;bac
     [IO.File]::WriteAllText($path, $html, [System.Text.Encoding]::UTF8)
     return $path
 }
+
+# HTML-Report fuers Geraete-Offboarding — pro Geraet die ausgefuehrten Loeschungen
+# (Entra/Intune/Autopilot) mit Status + Meldung. Liegt in Api.ps1 (BOM) wegen Umlauten.
+function New-OffboardHtmlReport {
+    param($Devices, $Results, [int]$Success, [int]$Errors, [int]$Total, [string]$EntraAction, [bool]$DoIntune, [bool]$DoAutopilot)
+
+    Add-Type -AssemblyName System.Web
+    function _e { param($s) if ($null -eq $s) { return "" } return [System.Web.HttpUtility]::HtmlEncode([string]$s) }
+
+    $ts      = Get-Date -Format "yyyy-MM-dd_HH-mm-ss"
+    $tsHuman = Get-Date -Format "dd.MM.yyyy HH:mm:ss"
+    $name    = "offboard-report-$ts.html"
+    $path    = Join-Path $script:Config.ReportDir $name
+    $user    = $env:USERNAME
+    $machine = $env:COMPUTERNAME
+    $tenant  = if ($script:State.TenantId) { $script:State.TenantId } else { "" }
+    $account = if ($script:State.Account)  { $script:State.Account }  else { "" }
+    $devCount = @($Devices).Count
+
+    $bannerCls = if ($Errors -gt 0) { "banner-err" } else { "banner-ok" }
+    $bannerTxt = if ($Errors -gt 0) { "$Errors von $Total Aktion(en) fehlgeschlagen - Details unten" } else { "Alle $Success Aktion(en) erfolgreich" }
+
+    # Dienst-Zusammenfassung (was angefordert wurde)
+    $svcParts = @()
+    if     ($EntraAction -eq 'delete')  { $svcParts += "Entra ID: geloescht" }
+    elseif ($EntraAction -eq 'disable') { $svcParts += "Entra ID: deaktiviert" }
+    if ($DoIntune)    { $svcParts += "Intune: geloescht" }
+    if ($DoAutopilot) { $svcParts += "Autopilot: geloescht" }
+    $svcTxt = if ($svcParts.Count -gt 0) { ($svcParts -join " &middot; ") } else { "keine" }
+
+    # Ergebnisse pro Geraet gruppieren (Reihenfolge = Geraeteliste)
+    $byDev = [ordered]@{}
+    foreach ($d in @($Devices)) { $dn = [string]$d.deviceName; if ($dn -and -not $byDev.Contains($dn)) { $byDev[$dn] = @() } }
+    foreach ($r in @($Results)) {
+        $dn = [string]$r.deviceName
+        if (-not $byDev.Contains($dn)) { $byDev[$dn] = @() }
+        $byDev[$dn] += $r
+    }
+
+    $devBlocks = ""
+    foreach ($dn in @($byDev.Keys)) {
+        $rows = @($byDev[$dn])
+        $okC  = @($rows | Where-Object { $_.success }).Count
+        $errC = @($rows | Where-Object { -not $_.success }).Count
+        $rowsHtml = ""
+        foreach ($r in $rows) {
+            $cls = if ($r.success) { "ok" } else { "err" }
+            $ico = if ($r.success) { "&#10003;" } else { "&#33;" }
+            $lbl = if ($r.success) { "Erfolg" } else { "Fehler" }
+            $msg = if ($r.error) { _e $r.error } else { "" }
+            $rowsHtml += "<tr class='row-$cls'>" +
+                "<td class='c-status'><span class='status-pill status-$cls'>$ico $lbl</span></td>" +
+                "<td class='c-svc'>$(_e $r.service)</td>" +
+                "<td class='c-act'>$(_e $r.action)</td>" +
+                "<td class='c-msg'>$msg</td></tr>"
+        }
+        if (-not $rowsHtml) { $rowsHtml = "<tr><td colspan='4' class='c-msg'>Keine ausgefuehrten Aktionen.</td></tr>" }
+        $stats = ""
+        if ($okC -gt 0)  { $stats += "<span class='hd-pill hd-ok'>$okC OK</span>" }
+        if ($errC -gt 0) { $stats += "<span class='hd-pill hd-err'>$errC Fehler</span>" }
+        $devBlocks += "<details class='dev-block' open><summary class='dev-head'>" +
+            "<span class='dev-name'>$(_e $dn)</span><span class='dev-stats'>$stats</span></summary>" +
+            "<div class='dev-body'><table class='res-table'><thead><tr>" +
+            "<th class='c-status'>Status</th><th class='c-svc'>Dienst</th><th class='c-act'>Aktion</th><th class='c-msg'>Meldung</th>" +
+            "</tr></thead><tbody>$rowsHtml</tbody></table></div></details>"
+    }
+    if (-not $devBlocks) { $devBlocks = "<div class='empty'>Keine Ergebnisse.</div>" }
+
+    $html = @"
+<!DOCTYPE html>
+<html lang="de">
+<head>
+<meta charset="UTF-8">
+<meta name="viewport" content="width=device-width, initial-scale=1.0">
+<title>Intune Offboarding-Report - $tsHuman</title>
+<link rel="preconnect" href="https://rsms.me/">
+<link rel="stylesheet" href="https://rsms.me/inter/inter.css">
+<style>
+:root{
+  --black-100:#0A0E15;--black-80:#373F4E;--black-60:#667085;
+  --white-100:#FFFFFF;--white-90:#F0F1F5;--white-80:#E0E4EB;--white-70:#D1D6E0;
+  --blue-60:#3566B6;--blue-10:#E0ECFF;
+  --success-100:#008072;--success-60:#A0E3D8;--success-10:#D0FBF5;
+  --error-100:#B21919;--error-60:#EA9E9E;--error-10:#FBE0E0;
+  --warning-100:#8F7200;--warning-60:#F8E081;--warning-10:#FFF3C2;
+  --bg:#F7FAFD;--surface:#FFF;--surface-soft:#F4F7FB;--hairline:var(--white-70);--hairline-soft:var(--white-90);
+  --text-primary:var(--black-100);--text-secondary:var(--black-80);--text-muted:var(--black-60);
+  --r-sm:6px;--r-md:10px;--r-lg:14px;--shadow-soft:0 1px 2px rgba(23,64,130,.04),0 2px 6px rgba(23,64,130,.04);
+}
+*{box-sizing:border-box;margin:0;padding:0}
+html,body{font-family:'Inter',ui-sans-serif,system-ui,-apple-system,'Segoe UI',sans-serif;background:var(--bg);color:var(--text-secondary);line-height:1.5;-webkit-font-smoothing:antialiased}
+body{padding:32px 16px 80px}
+.container{max-width:1100px;margin:0 auto}
+.head{background:var(--surface);border:1px solid var(--hairline);border-radius:var(--r-lg);padding:24px 28px;margin-bottom:20px;box-shadow:var(--shadow-soft)}
+.head-top{display:flex;align-items:center;justify-content:space-between;flex-wrap:wrap;gap:16px}
+.brand{display:flex;align-items:center;gap:12px}
+.logo{width:40px;height:40px;border-radius:9px;background:var(--blue-60);color:#fff;display:grid;place-items:center;font-size:20px;font-weight:700}
+.title{font-size:22px;font-weight:700;letter-spacing:-.015em;color:var(--text-primary)}
+.subtitle{font-size:13px;color:var(--text-muted);margin-top:2px}
+.head-meta{display:flex;flex-wrap:wrap;gap:6px}
+.meta-pill{display:inline-flex;align-items:center;gap:6px;font-size:11.5px;background:var(--surface-soft);border:1px solid var(--hairline);padding:5px 10px;border-radius:999px;color:var(--text-secondary);font-weight:500}
+.meta-pill .lbl{color:var(--text-muted);text-transform:uppercase;font-size:10px;letter-spacing:.04em;font-weight:600}
+.meta-pill code{font-family:ui-monospace,Menlo,Consolas,monospace;font-size:11px}
+.banner{margin-top:18px;padding:12px 16px;border-radius:var(--r-md);font-size:13.5px;font-weight:500;display:flex;align-items:center;gap:10px;border:1px solid transparent}
+.banner-ok{background:var(--success-10);border-color:var(--success-60);color:var(--success-100)}
+.banner-err{background:var(--error-10);border-color:var(--error-60);color:var(--error-100)}
+.banner-icon{width:22px;height:22px;border-radius:50%;display:inline-grid;place-items:center;font-size:13px;font-weight:700}
+.banner-ok .banner-icon{background:var(--success-60);color:var(--success-100)}
+.banner-err .banner-icon{background:var(--error-60);color:var(--error-100)}
+.kpis{display:grid;grid-template-columns:repeat(auto-fit,minmax(150px,1fr));gap:12px;margin-bottom:20px}
+.kpi{background:var(--surface);border:1px solid var(--hairline);border-radius:var(--r-md);padding:18px}
+.kpi-num{font-size:30px;font-weight:700;line-height:1;letter-spacing:-.02em;font-variant-numeric:tabular-nums;color:var(--text-primary)}
+.kpi-lbl{font-size:11px;color:var(--text-muted);text-transform:uppercase;letter-spacing:.04em;font-weight:600;margin-top:6px}
+.kpi.ok .kpi-num{color:var(--success-100)}
+.kpi.err .kpi-num{color:var(--error-100)}
+.section{background:var(--surface);border:1px solid var(--hairline);border-radius:var(--r-lg);padding:22px 24px;margin-bottom:18px;box-shadow:var(--shadow-soft)}
+.section-title{font-size:15px;font-weight:600;color:var(--text-primary);margin-bottom:4px}
+.section-sub{font-size:12px;color:var(--text-muted);margin-bottom:14px}
+.dev-block{border:1px solid var(--hairline);border-radius:var(--r-md);overflow:hidden;margin-bottom:10px;background:var(--surface)}
+.dev-head{cursor:pointer;padding:12px 16px;display:flex;align-items:center;justify-content:space-between;gap:12px;list-style:none}
+.dev-head::-webkit-details-marker{display:none}
+.dev-name{font-size:14px;font-weight:600;color:var(--text-primary)}
+.dev-stats{display:flex;gap:6px}
+.hd-pill{font-size:10.5px;font-weight:700;padding:2px 8px;border-radius:999px}
+.hd-ok{background:var(--success-10);color:var(--success-100)}
+.hd-err{background:var(--error-10);color:var(--error-100)}
+.dev-body{border-top:1px solid var(--hairline-soft)}
+.res-table{width:100%;border-collapse:collapse;font-size:13px}
+.res-table th{text-align:left;font-size:10.5px;text-transform:uppercase;letter-spacing:.04em;color:var(--text-muted);font-weight:600;padding:8px 16px;background:var(--surface-soft);border-bottom:1px solid var(--hairline-soft)}
+.res-table td{padding:9px 16px;border-bottom:1px solid var(--hairline-soft);vertical-align:top}
+.res-table tr:last-child td{border-bottom:none}
+.c-status{width:120px}.c-svc{width:120px;font-weight:600;color:var(--text-primary)}.c-act{width:130px}
+.c-msg{color:var(--error-100)}
+.status-pill{display:inline-flex;align-items:center;gap:4px;font-size:11px;font-weight:600;padding:3px 9px;border-radius:999px;border:1px solid transparent;white-space:nowrap}
+.status-ok{background:var(--success-10);color:var(--success-100);border-color:var(--success-60)}
+.status-err{background:var(--error-10);color:var(--error-100);border-color:var(--error-60)}
+.empty{padding:18px;text-align:center;color:var(--text-muted);font-size:13px;background:var(--surface-soft);border-radius:var(--r-md);border:1px dashed var(--hairline)}
+footer{text-align:center;color:var(--text-muted);font-size:11.5px;margin-top:24px}
+footer code{font-family:ui-monospace,Menlo,Consolas,monospace;background:var(--surface);padding:1px 6px;border-radius:4px;border:1px solid var(--hairline)}
+@media print{body{background:#fff;padding:0}.section,.head,.kpi,.dev-block{box-shadow:none;break-inside:avoid}}
+</style>
+</head>
+<body>
+<div class="container">
+  <header class="head">
+    <div class="head-top">
+      <div class="brand">
+        <div class="logo">I</div>
+        <div>
+          <div class="title">Intune Offboarding-Report</div>
+          <div class="subtitle">$tsHuman &middot; ausgefuehrt von $(_e $user)</div>
+        </div>
+      </div>
+      <div class="head-meta">
+"@
+    if ($account) { $html += "<span class='meta-pill'><span class='lbl'>Account</span> $(_e $account)</span>" }
+    if ($tenant)  { $html += "<span class='meta-pill'><span class='lbl'>Tenant</span> <code>$(_e $tenant)</code></span>" }
+    $html += "<span class='meta-pill'><span class='lbl'>Host</span> $(_e $machine)</span>"
+    $html += @"
+      </div>
+    </div>
+    <div class="banner $bannerCls">
+      <span class="banner-icon">$(if ($Errors -gt 0) { '!' } else { '&#10003;' })</span>
+      <span>$bannerTxt</span>
+    </div>
+  </header>
+
+  <div class="kpis">
+    <div class="kpi tot"><div class="kpi-num">$devCount</div><div class="kpi-lbl">Geraete</div></div>
+    <div class="kpi tot"><div class="kpi-num">$Total</div><div class="kpi-lbl">Aktionen</div></div>
+    <div class="kpi ok"><div class="kpi-num">$Success</div><div class="kpi-lbl">Erfolgreich</div></div>
+    <div class="kpi err"><div class="kpi-num">$Errors</div><div class="kpi-lbl">Fehler</div></div>
+  </div>
+
+  <div class="section">
+    <div class="section-title">Angeforderte Dienste</div>
+    <div class="section-sub">$svcTxt</div>
+  </div>
+
+  <div class="section">
+    <div class="section-title">Ergebnisse pro Geraet</div>
+    <div class="section-sub">Jeder Block zeigt die ausgefuehrten Loeschungen/Aenderungen mit Status und Meldung.</div>
+    $devBlocks
+  </div>
+
+  <footer>
+    Intune Manager &middot; Web Edition <code>v$(_e $script:ToolVersion)</code> &middot; Offboarding-Report
+  </footer>
+</div>
+</body>
+</html>
+"@
+    [IO.File]::WriteAllText($path, $html, [System.Text.Encoding]::UTF8)
+    return $path
+}

src/Graph.ps1

@@ -71,6 +71,11 @@ function Invoke-MgGraphRequestRetry {
                 Start-Sleep -Seconds $wait
                 continue
             }
+            # Nicht-Retry-Fehler: den Graph-Fehler-Body (mit dem eigentlichen Grund)
+            # an die Meldung haengen — sonst steht im Log nur "BadRequest".
+            $gbody = $null
+            try { $gbody = [string]$_.ErrorDetails.Message } catch {}
+            if ($gbody) { throw [System.Exception]::new("$msg | Graph: $gbody", $_.Exception) }
             throw
         }
     }

src/Models.ps1

@@ -26,13 +26,37 @@ function ConvertTo-IsoDate {
     return $s
 }
 
+# ============================================================
+# Plattform-Helfer: App-Daten-Verzeichnis (Settings, Exporte).
+# Windows: %APPDATA%\IntuneAppManager-Web (unveraendert).
+# macOS:   ~/Library/Application Support/IntuneAppManager-Web
+# Linux:   $XDG_CONFIG_HOME bzw. ~/.config/IntuneAppManager-Web
+# ============================================================
+function Test-IsWindows {
+    # PS5.1 kennt $IsWindows nicht -> $env:OS faengt das ab.
+    return (($env:OS -eq 'Windows_NT') -or ($PSVersionTable.PSVersion.Major -lt 6) -or $IsWindows)
+}
+
+function Get-AppDataDir {
+    $base = if ($env:APPDATA) {
+        $env:APPDATA
+    } elseif ($IsMacOS) {
+        Join-Path $HOME 'Library/Application Support'
+    } elseif ($IsLinux) {
+        if ($env:XDG_CONFIG_HOME) { $env:XDG_CONFIG_HOME } else { Join-Path $HOME '.config' }
+    } else {
+        [Environment]::GetFolderPath('ApplicationData')
+    }
+    return (Join-Path $base 'IntuneAppManager-Web')
+}
+
 # ============================================================
 # Settings: editierbare Konfiguration, persistiert als JSON
-# unter %APPDATA%\IntuneAppManager-Web\settings.json
+# unter <AppData>\IntuneAppManager-Web\settings.json
 # ============================================================
 
 function Get-SettingsPath {
-    $dir = Join-Path $env:APPDATA "IntuneAppManager-Web"
+    $dir = Get-AppDataDir
     if (-not (Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force | Out-Null }
     return Join-Path $dir "settings.json"
 }

src/Offboard.ps1

@@ -54,7 +54,101 @@ function Search-OffboardDevicesEndpoint {
         }
         return @{ __status = 500; error = "Graph-Fehler bei der Suche: $m" }
     }
-    if ($intune.Count -eq 0) { return @{ items = @(); count = 0 } }
+    $items = @()
+    if ($intune.Count -gt 0) { $items = @(Resolve-OffboardItems -IntuneDevices $intune) }
+
+    # Zusaetzlich Autopilot direkt durchsuchen: Geraete, die in Autopilot registriert,
+    # aber (noch) nicht in Intune enrolled sind (oder aus Intune entfernt wurden),
+    # tauchen in der managedDevices-Suche nicht auf.
+    $apItems = @(Search-AutopilotOnly -Query $q -Type $type -ExistingItems $items)
+    $items   = @($items) + @($apItems)
+
+    return @{ items = @($items); count = @($items).Count }
+}
+
+# Durchsucht windowsAutopilotDeviceIdentities direkt und liefert Offboard-Items fuer
+# Geraete, die noch nicht ueber die Intune-Suche abgedeckt sind. Namenssuche laeuft
+# ueber displayName (nicht garantiert unterstuetzt -> Fehler werden still ignoriert),
+# Seriennummer ueber contains(serialNumber).
+function Search-AutopilotOnly {
+    param([string]$Query, [string]$Type, [object[]]$ExistingItems)
+    $qEsc = $Query -replace "'", "''"
+    $apFilter = if ($Type -eq 'serial') { "contains(serialNumber,'$qEsc')" } else { "startswith(displayName,'$qEsc')" }
+    $sel = 'id,serialNumber,displayName,azureAdDeviceId,managedDeviceId,userPrincipalName,model,manufacturer,groupTag,enrollmentState'
+    $uri = "https://graph.microsoft.com/beta/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$([Uri]::EscapeDataString($apFilter))&`$select=$sel&`$top=50"
+    $ap  = @()
+    try {
+        $ap = @(Get-GraphPaged -Uri $uri)
+    } catch {
+        $m = Get-OffboardGraphErr $_
+        Write-Host "  [OFFBOARD] Autopilot-Suche ($Type='$Query'): $m" -ForegroundColor DarkYellow
+        return @()
+    }
+    if ($ap.Count -eq 0) { return @() }
+
+    # Bereits durch die Intune-Suche abgedeckte Geraete rausfiltern (Seriennummer/Autopilot-Id).
+    $seenSer = @{}; $seenApId = @{}
+    foreach ($it in @($ExistingItems)) {
+        $s = ([string]$it.serialNumber).Trim().ToLower(); if ($s) { $seenSer[$s] = $true }
+        $aid = [string]$it.autopilotId; if ($aid) { $seenApId[$aid] = $true }
+    }
+    $new = @($ap | Where-Object {
+        $s   = ([string]$_.serialNumber).Trim().ToLower()
+        $aid = [string]$_.id
+        -not ($seenApId[$aid] -or ($s -and $seenSer[$s]))
+    })
+    if ($new.Count -eq 0) { return @() }
+
+    # Entra-Objekt per azureAdDeviceId nachladen (fuer Delete).
+    $reqs = @(); $idx = 0
+    foreach ($a in $new) {
+        $aad = [string]$a.azureAdDeviceId
+        if ($aad -and $aad -ne '00000000-0000-0000-0000-000000000000') {
+            $f = [Uri]::EscapeDataString("deviceId eq '$aad'")
+            $reqs += @{ id = "e$idx"; method = 'GET'; url = "/devices?`$filter=$f&`$select=id,deviceId,displayName,accountEnabled&`$top=1" }
+        }
+        $idx++
+    }
+    $batch = if ($reqs.Count -gt 0) { Invoke-GraphBatch -Requests $reqs } else { @{} }
+
+    $items = @(); $idx = 0
+    foreach ($a in $new) {
+        $entra = $null
+        $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
+        $mdid = [string]$a.managedDeviceId
+        $hasIntune = ($mdid -and $mdid -ne '00000000-0000-0000-0000-000000000000')
+        $dn = [string]$a.displayName
+        if (-not $dn) { $dn = if ($a.serialNumber) { "SN $([string]$a.serialNumber)" } else { '(Autopilot-Geraet)' } }
+        $items += [pscustomobject]@{
+            deviceName      = $dn
+            serialNumber    = [string]$a.serialNumber
+            operatingSystem = 'Windows'
+            osVersion       = ''
+            primaryUser     = [string]$a.userPrincipalName
+            lastSync        = $null
+            ownership       = ''
+            coManaged       = $false
+            intuneDeviceId  = if ($hasIntune) { $mdid } else { '' }
+            azureADDeviceId = [string]$a.azureAdDeviceId
+            entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
+            entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
+            autopilotId     = [string]$a.id
+            autopilotNote   = ''
+            inIntune        = [bool]$hasIntune
+            inEntra         = [bool]$entra
+            inAutopilot     = $true
+        }
+        $idx++
+    }
+    return @($items)
+}
+
+# Reichert Intune-managedDevice-Objekte mit Entra-Objekt-Id + Autopilot-Id an
+# (per $batch) und liefert die Offboard-Item-Struktur fuers Frontend.
+function Resolve-OffboardItems {
+    param([object[]]$IntuneDevices)
+    $intune = @($IntuneDevices)
+    if ($intune.Count -eq 0) { return @() }
 
     # Entra-Objekt (fuer Delete) + Autopilot-Identity (fuer Delete) per Batch nachladen.
     $reqs = @()
@@ -77,9 +171,23 @@ function Search-OffboardDevicesEndpoint {
     $items = @()
     $idx   = 0
     foreach ($d in $intune) {
-        $entra = $null; $autop = $null
+        $ser   = [string]$d.serialNumber
+        $entra = $null; $autop = $null; $apNote = ''
         $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
-        $ar = $batch["a$idx"]; if ($ar -and [int]$ar.status -eq 200) { $autop = @($ar.body.value)[0] }
+        $ar = $batch["a$idx"]
+        if ($ar) {
+            $ast = [int]$ar.status
+            if ($ast -eq 200) {
+                $autop = @($ar.body.value)[0]
+                if (-not $autop) { $apNote = 'Kein Autopilot-Treffer fuer Seriennummer' }
+            } else {
+                $acode = ''; try { $acode = [string]$ar.body.error.code } catch {}
+                $apNote = "Autopilot-Lookup fehlgeschlagen: HTTP $ast" + $(if ($acode) { " ($acode)" } else { '' })
+                Write-Host "  [OFFBOARD] Autopilot-Lookup ($($d.deviceName), SN=$ser): HTTP $ast $acode" -ForegroundColor DarkYellow
+            }
+        } elseif (-not $ser) {
+            $apNote = 'Keine Seriennummer am Intune-Geraet'
+        }
         $items += [pscustomobject]@{
             deviceName      = [string]$d.deviceName
             serialNumber    = [string]$d.serialNumber
@@ -94,13 +202,39 @@ function Search-OffboardDevicesEndpoint {
             entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
             entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
             autopilotId     = if ($autop) { [string]$autop.id } else { '' }
+            autopilotNote   = $apNote
             inIntune        = $true
             inEntra         = [bool]$entra
             inAutopilot     = [bool]$autop
         }
         $idx++
     }
-    return @{ items = @($items); count = $items.Count }
+    return @($items)
+}
+
+# Offboard-Items zu einer Liste von Intune-Device-Ids aufloesen (fuer Bulk-
+# Offboarding aus dem Geraete-Tab). Body: { ids: [intuneDeviceId, ...] }
+function Get-OffboardResolveEndpoint {
+    param($Body)
+    $err = Test-Connected
+    if ($err) { return $err }
+    $ids = @(Get-PolicyProp $Body 'ids') | Where-Object { $_ }
+    if (@($ids).Count -eq 0) { return @{ items = @(); count = 0 } }
+
+    $sel  = 'id,deviceName,serialNumber,operatingSystem,osVersion,userPrincipalName,lastSyncDateTime,azureADDeviceId,managedDeviceOwnerType,managementAgent'
+    $reqs = @()
+    $i    = 0
+    foreach ($id in $ids) {
+        $reqs += @{ id = "d$i"; method = 'GET'; url = "/deviceManagement/managedDevices/$([string]$id)?`$select=$sel" }
+        $i++
+    }
+    $batch = Invoke-GraphBatch -Requests $reqs
+    $devs  = @()
+    foreach ($k in @($batch.Keys)) {
+        $r = $batch[$k]
+        if ($r -and [int]$r.status -eq 200 -and $r.body) { $devs += $r.body }
+    }
+    return @{ items = @(Resolve-OffboardItems -IntuneDevices $devs); count = @($devs).Count }
 }
 
 # Recovery-Keys eines Geraets holen (vor dem Loeschen). Body:
@@ -232,7 +366,19 @@ function Invoke-OffboardExecuteEndpoint {
             success = $ok; error = $errMsg
         }
     }
-    $okCount = @($results | Where-Object { $_.success }).Count
+    $okCount  = @($results | Where-Object { $_.success }).Count
+    $errCount = $results.Count - $okCount
     Write-Host "  -> $okCount/$($results.Count) erfolgreich" -ForegroundColor DarkGray
-    return @{ ok = $true; successCount = $okCount; total = $results.Count; results = @($results) }
+
+    # HTML-Report erzeugen (pro Geraet die ausgefuehrten Loeschungen) und verlinken.
+    $reportUrl = ""
+    try {
+        $reportFile = New-OffboardHtmlReport -Devices $devices -Results $results -Success $okCount -Errors $errCount -Total $results.Count -EntraAction $entraAction -DoIntune $doIntune -DoAutopilot $doAutopilot
+        if ($reportFile) { $reportUrl = "/reports/" + (Split-Path $reportFile -Leaf) }
+        Write-Host "[OFFBOARD] HTML-Report: $reportFile" -ForegroundColor DarkGray
+    } catch {
+        Write-Host "[OFFBOARD] Report-Erstellung fehlgeschlagen: $($_.Exception.Message)" -ForegroundColor Red
+    }
+
+    return @{ ok = $true; successCount = $okCount; total = $results.Count; results = @($results); reportUrl = [string]$reportUrl }
 }

src/PolicyIO.ps1

@@ -14,8 +14,7 @@
 # JSON-Inhalt (Frontend-Upload) oder eine Datei aus dem Server-Archiv.
 
 function Get-PolicyExportDir {
-    $dir = Join-Path $env:APPDATA 'IntuneAppManager-Web'
+    $dir = Join-Path (Get-AppDataDir) 'policy-exports'
-    $dir = Join-Path $dir 'policy-exports'
     if (-not (Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force | Out-Null }
     return $dir
 }
@@ -154,14 +153,44 @@ function Get-GraphPolicyList {
     param([Parameter(Mandatory=$true)][string]$Type)
     $cfg = Get-PolicyTypeConfig $Type
     if (-not $cfg) { throw "Unbekannter Policy-Typ: $Type" }
-    $raw = Get-GraphPaged -Uri "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)"
+    # Zuweisungen gleich mitladen ($expand=assignments), damit die Liste je Policy
-    $items = @()
+    # Anzahl + aufgeloeste Ziele zeigen kann. Nicht jede deviceManagement-Collection
+    # unterstuetzt $expand=assignments (z.B. groupPolicyConfigurations lehnt es teils
+    # mit 400 ab) -> im Fehlerfall ohne Zuweisungen laden, damit der Typ ueberhaupt
+    # erscheint (und exportierbar bleibt).
+    $listBase = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)"
+    try {
+        $raw = Get-GraphPaged -Uri ($listBase + '?$expand=assignments')
+    } catch {
+        Write-Host "  [POLICIES] $($cfg.Key): `$expand=assignments nicht unterstuetzt -> lade ohne Zuweisungen ($($_.Exception.Message))" -ForegroundColor DarkYellow
+        $raw = Get-GraphPaged -Uri $listBase
+    }
+    $items      = @()
+    $needGroups = @{}   # eindeutige Gruppen-Ids ueber alle Policies (fuer 1 Bulk-Lookup)
     foreach ($r in $raw) {
         $id = Get-PolicyProp $r 'id'
         if (-not $id) { continue }
         $name = Get-PolicyProp $r $cfg.NameField
         if (-not $name) { $name = Get-PolicyProp $r 'displayName' }
         if (-not $name) { $name = Get-PolicyProp $r 'name' }
+
+        $asg = @()
+        foreach ($a in @(Get-PolicyProp $r 'assignments')) {
+            $t = Get-PolicyProp $a 'target'
+            if (-not $t) { continue }
+            $ot  = [string](Get-PolicyProp $t '@odata.type')
+            $gid = [string](Get-PolicyProp $t 'groupId')
+            $entry = $null
+            if     ($ot -like '*exclusionGroupAssignmentTarget')    { $entry = [ordered]@{ mode = 'exclude'; kind = 'group';      groupId = $gid } }
+            elseif ($ot -like '*groupAssignmentTarget')             { $entry = [ordered]@{ mode = 'include'; kind = 'group';      groupId = $gid } }
+            elseif ($ot -like '*allDevicesAssignmentTarget')        { $entry = [ordered]@{ mode = 'include'; kind = 'allDevices'; groupId = '' } }
+            elseif ($ot -like '*allLicensedUsersAssignmentTarget')  { $entry = [ordered]@{ mode = 'include'; kind = 'allUsers';   groupId = '' } }
+            if ($entry) {
+                if ($gid) { $needGroups[$gid] = $true }
+                $asg += $entry
+            }
+        }
+
         $items += [ordered]@{
             id                   = [string]$id
             name                 = [string]$name
@@ -170,6 +199,25 @@ function Get-GraphPolicyList {
             platform             = Get-PolicyPlatformLabel -Raw $r -Type $cfg.Key
             odataType            = [string](Get-PolicyProp $r '@odata.type')
             lastModifiedDateTime = Get-PolicyProp $r 'lastModifiedDateTime'
+            assignments          = $asg
+            assignmentCount      = @($asg).Count
+        }
+    }
+
+    # Gruppennamen in EINEM Bulk-Lookup aufloesen (bereits bekannte aus dem Cache).
+    $lookup = @{}
+    try {
+        foreach ($g in @($script:State.Groups))    { if ($g.Id) { $lookup[[string]$g.Id] = [string]$g.DisplayName } }
+        foreach ($g in @($script:State.RpaGroups)) { if ($g.Id) { $lookup[[string]$g.Id] = [string]$g.DisplayName } }
+    } catch {}
+    $unknown = [string[]]@($needGroups.Keys | ForEach-Object { [string]$_ } | Where-Object { $_ -and -not $lookup.ContainsKey($_) })
+    if ($unknown.Count -gt 0) { try { Resolve-GroupNamesBulk -Ids $unknown -Lookup $lookup } catch {} }
+    foreach ($it in $items) {
+        foreach ($a in @($it.assignments)) {
+            if ($a.kind -eq 'group') {
+                $gid = [string]$a.groupId
+                $a.groupName = if ($lookup.ContainsKey($gid)) { $lookup[$gid] } else { $gid }
+            }
         }
     }
     return $items
@@ -188,10 +236,24 @@ function Get-GraphPolicyDetail {
     # (definitionValues inkl. Definition + Presentation-Werten) separat expandieren.
     # -AsRawJson durchgaengig: bewahrt Ein-Element-Collections als Array (PS-5.1-
     # Hashtable-Modus wuerde sie skalarisieren -> 400 beim Re-Import).
+    # WICHTIG: presentationValues($expand=presentation) waere ein VERSCHACHTELTER
+    # Expand (Tiefe 2) -> Graph lehnt mit 400 ab ("$expand path too deep, max 1").
+    # Deshalb definitionValues nur mit 'definition' expandieren (Tiefe 1) und die
+    # presentationValues je definitionValue separat mit 'presentation' nachladen.
     if ($cfg.Key -eq 'administrativetemplate') {
-        $base = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id" -Method GET -AsRawJson
+        $cfgRoot = "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id"
-        $dvUri = "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id/definitionValues?`$expand=definition(`$select=id,classType,displayName,policyType,version),presentationValues(`$expand=presentation)"
+        $base = Invoke-MgGraphRequestRetry -Uri $cfgRoot -Method GET -AsRawJson
+        $dvUri = "$cfgRoot/definitionValues?`$expand=definition(`$select=id,classType,displayName,categoryPath,policyType,version)"
         $dvs = @(Get-GraphPaged -Uri $dvUri -AsRawJson)
+        foreach ($dv in $dvs) {
+            if (-not $dv) { continue }
+            $dvId = [string](Get-PolicyProp $dv 'id')
+            if (-not $dvId) { continue }
+            $pvUri = "$cfgRoot/definitionValues/$dvId/presentationValues?`$expand=presentation"
+            $pvs = @(Get-GraphPaged -Uri $pvUri -AsRawJson)
+            if ($dv -is [System.Collections.IDictionary]) { $dv['presentationValues'] = $pvs }
+            else { $dv | Add-Member -NotePropertyName presentationValues -NotePropertyValue $pvs -Force }
+        }
         if ($base -is [System.Collections.IDictionary]) { $base['definitionValues'] = $dvs }
         else { $base | Add-Member -NotePropertyName definitionValues -NotePropertyValue $dvs -Force }
         return $base
@@ -230,7 +292,7 @@ function ConvertTo-ImportBody {
 # Arrays. Idempotent: bereits korrekte Arrays bleiben unveraendert.
 function Repair-SettingsCatalogArrays {
     param($Node)
-    $arrayKeys = @('settings','children','groupSettingCollectionValue','simpleSettingCollectionValue','values')
+    $arrayKeys = @('settings','children','groupSettingCollectionValue','simpleSettingCollectionValue','choiceSettingCollectionValue','values')
     # *TemplateReference-Keys tragen ein Objekt ODER null. Ein alter Export mit zu
     # geringer ConvertTo-Json-Tiefe hat solche (tief liegenden) Objekte zu ".ToString()"
     # stringifiziert -> "System.Collections.Hashtable". Graph lehnt das ab
@@ -422,6 +484,75 @@ function Import-GraphSettingsCatalogPolicy {
     return Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/configurationPolicies' -Method POST -Body $json -ContentType 'application/json'
 }
 
+# Loest eine ingestete (custom) ADMX-Definition im AKTUELLEN Ziel-Tenant auf.
+# Custom-ADMX-IDs sind tenant-spezifisch -> Binding per Export-Id scheitert (404).
+# Match ueber stabile Merkmale: displayName + classType (+ categoryPath).
+# Voraussetzung: die ADMX ist im Ziel-Tenant importiert. Sonst $null.
+function Resolve-TargetGpDefinition {
+    param($SrcDefinition)
+    $dn  = [string](Get-PolicyProp $SrcDefinition 'displayName')
+    $ct  = [string](Get-PolicyProp $SrcDefinition 'classType')
+    $cat = [string](Get-PolicyProp $SrcDefinition 'categoryPath')
+    if (-not $dn) { return $null }
+    $dnEsc = $dn -replace "'", "''"
+    $base  = 'https://graph.microsoft.com/beta/deviceManagement/groupPolicyDefinitions'
+    $cands = @()
+    try {
+        $uri = "$base`?`$filter=" + [uri]::EscapeDataString("displayName eq '$dnEsc'")
+        $cands = @(Get-GraphPaged -Uri $uri -AsRawJson)
+    } catch { $cands = @() }
+    # Fallback, falls $filter auf displayName nicht unterstuetzt wird: ueber categoryPath.
+    if ($cands.Count -eq 0 -and $cat) {
+        try {
+            $catEsc = $cat -replace "'", "''"
+            $uri2 = "$base`?`$filter=" + [uri]::EscapeDataString("categoryPath eq '$catEsc'")
+            $cands = @(Get-GraphPaged -Uri $uri2 -AsRawJson) | Where-Object { [string](Get-PolicyProp $_ 'displayName') -eq $dn }
+        } catch { $cands = @() }
+    }
+    if (@($cands).Count -eq 0) { return $null }
+    # classType zuerst eingrenzen (User- vs. Device-Variante nie verwechseln),
+    # dann innerhalb dessen categoryPath bevorzugen; sonst erster Treffer.
+    $pool = @($cands) | Where-Object { (-not $ct) -or ([string](Get-PolicyProp $_ 'classType') -eq $ct) }
+    if (@($pool).Count -eq 0) { $pool = @($cands) }
+    $match = @($pool) | Where-Object { $cat -and ([string](Get-PolicyProp $_ 'categoryPath') -eq $cat) } | Select-Object -First 1
+    if (-not $match) { $match = @($pool) | Select-Object -First 1 }
+    return $match
+}
+
+# Findet zu einer Quell-Presentation die passende Ziel-Presentation-Id:
+# 1) per label + @odata.type, 2) Fallback: i-te Ziel-Presentation gleichen Typs
+# (in Definitions-Reihenfolge; $Counter zaehlt je Typ mit).
+function Resolve-TargetPresentationId {
+    param($TargetPres, $SrcPresentation, [hashtable]$Counter)
+    # @odata.type-Format normalisieren: Graph liefert mal '#microsoft.graph.X',
+    # mal 'microsoft.graph.X' -> fuehrendes '#' weg, klein. Sonst schlaegt der
+    # String-Vergleich fehl und Text-Presentations werden nicht zugeordnet.
+    $norm = { param($t) ([string]$t).TrimStart('#').ToLower() }
+    $srcLabel = [string](Get-PolicyProp $SrcPresentation 'label')
+    $srcType  = & $norm (Get-PolicyProp $SrcPresentation '@odata.type')
+    # 1) label + Typ
+    if ($srcLabel) {
+        $m = @($TargetPres) | Where-Object {
+            ([string](Get-PolicyProp $_ 'label') -eq $srcLabel) -and
+            ((& $norm (Get-PolicyProp $_ '@odata.type')) -eq $srcType)
+        } | Select-Object -First 1
+        if ($m) { return [string](Get-PolicyProp $m 'id') }
+    }
+    # 2) i-te Ziel-Presentation gleichen Typs (in Reihenfolge).
+    # WICHTIG: Ergebnis in @() zwingen - bei EINEM Treffer liefert Where-Object ein
+    # Einzelobjekt; ist das eine Hashtable (PS7 -AsHashtable), waere $x[0] eine
+    # Schluessel-Suche nach Key 0 (=> $null) statt Array-Index -> Fehlmatch.
+    $idx = 0; if ($Counter.ContainsKey($srcType)) { $idx = [int]$Counter[$srcType] }
+    $sameType = @(@($TargetPres) | Where-Object { (& $norm (Get-PolicyProp $_ '@odata.type')) -eq $srcType })
+    $Counter[$srcType] = $idx + 1
+    if ($idx -lt $sameType.Count) { return [string](Get-PolicyProp $sameType[$idx] 'id') }
+    # 3) Letzter Fallback: hat die Ziel-Definition genau EINE Presentation, nimm sie
+    #    (deckt Ein-Feld-Settings wie Textboxen zuverlaessig ab).
+    $allTgt = @($TargetPres)
+    if ($allTgt.Count -eq 1) { return [string](Get-PolicyProp $allTgt[0] 'id') }
+    return $null
+}
+
 function Import-GraphAdministrativeTemplate {
     param([Parameter(Mandatory=$true)]$Policy)
 
@@ -442,23 +573,53 @@ function Import-GraphAdministrativeTemplate {
     if (-not $newId) { throw 'Anlegen der Administrative-Vorlage-Huelle lieferte keine Id.' }
 
     # 2) Jeden definitionValue einzeln anhaengen. Definition + Presentations werden
-    #    per @odata.bind referenziert — die IDs eingebauter ADMX-Vorlagen sind
+    #    per @odata.bind referenziert. EINGEBAUTE ADMX-Vorlagen (policyType
-    #    tenantuebergreifend identisch, daher tenantunabhaengig einsetzbar.
+    #    'admxBacked') haben tenantuebergreifend identische IDs -> Export-Id direkt
+    #    verwendbar. INGESTETE/CUSTOM ADMX ('admxIngested') hat tenant-spezifische
+    #    IDs -> im Ziel-Tenant ueber displayName/classType/categoryPath neu aufloesen
+    #    (setzt voraus, dass dieselbe ADMX im Ziel importiert ist; sonst 404).
     $errors = @()
     foreach ($dv in @(Get-PolicyProp $Policy 'definitionValues')) {
         if (-not $dv) { continue }
-        $def   = Get-PolicyProp $dv 'definition'
+        $def      = Get-PolicyProp $dv 'definition'
-        $defId = [string](Get-PolicyProp $def 'id')
+        $srcDefId = [string](Get-PolicyProp $def 'id')
-        if (-not $defId) {
+        $defName  = [string](Get-PolicyProp $def 'displayName'); if (-not $defName) { $defName = $srcDefId }
-            $errors += 'definitionValue ohne Definition-Id uebersprungen'
+        if (-not $srcDefId) { $errors += 'definitionValue ohne Definition-Id uebersprungen'; continue }
-            continue
+
+        $ingested = ([string](Get-PolicyProp $def 'policyType') -eq 'admxIngested')
+        $defId    = $srcDefId
+        $tgtPres  = $null
+        if ($ingested) {
+            $tgtDef = Resolve-TargetGpDefinition $def
+            if (-not $tgtDef) {
+                $errors += "${defName}: ingestete ADMX-Definition im Ziel-Tenant nicht gefunden - die passende ADMX muss dort importiert sein"
+                continue
+            }
+            $defId = [string](Get-PolicyProp $tgtDef 'id')
+            try { $tgtPres = @(Get-GraphPaged -Uri "$defRoot/$defId/presentations" -AsRawJson) } catch { $tgtPres = @() }
         }
 
-        $presVals = @()
+        $presVals    = @()
+        $typeCounter = @{}
+        $presFailed  = $false
+        $presDiag    = ''
         foreach ($pv in @(Get-PolicyProp $dv 'presentationValues')) {
             if (-not $pv) { continue }
-            $pres   = Get-PolicyProp $pv 'presentation'
+            $pres = Get-PolicyProp $pv 'presentation'
-            $presId = [string](Get-PolicyProp $pres 'id')
+            if ($ingested) {
+                $presId = Resolve-TargetPresentationId -TargetPres $tgtPres -SrcPresentation $pres -Counter $typeCounter
+                # Presentation nicht zuordenbar (andere ADMX-Version im Ziel): die GANZE
+                # Einstellung ueberspringen, statt mit unvollstaendigem Body ein 400 zu
+                # provozieren. Zur Diagnose Quelle + Ziel-Presentations anhaengen.
+                if (-not $presId) {
+                    $srcI = "$([string](Get-PolicyProp $pres '@odata.type'))|label='$([string](Get-PolicyProp $pres 'label'))'"
+                    $tgtI = (@($tgtPres) | ForEach-Object { "$([string](Get-PolicyProp $_ '@odata.type'))|label='$([string](Get-PolicyProp $_ 'label'))'" }) -join ' ; '
+                    $presDiag = "Quelle[$srcI] Ziel[$tgtI]"
+                    $presFailed = $true; break
+                }
+            } else {
+                $presId = [string](Get-PolicyProp $pres 'id')
+            }
             $entry  = [ordered]@{
                 '@odata.type'             = [string](Get-PolicyProp $pv '@odata.type')
                 'presentation@odata.bind' = "$defRoot('$defId')/presentations('$presId')"
@@ -470,6 +631,10 @@ function Import-GraphAdministrativeTemplate {
             }
             $presVals += $entry
         }
+        if ($presFailed) {
+            $errors += "${defName}: Presentation nicht zuordenbar - uebersprungen. $presDiag"
+            continue
+        }
 
         $body = [ordered]@{
             enabled                 = [bool](Get-PolicyProp $dv 'enabled')
@@ -481,8 +646,7 @@ function Import-GraphAdministrativeTemplate {
         } catch {
             $m = $_.Exception.Message
             try { if ($_.ErrorDetails.Message) { $m = $_.ErrorDetails.Message } } catch {}
-            $dn = [string](Get-PolicyProp $def 'displayName'); if (-not $dn) { $dn = $defId }
+            $errors += "${defName}: $m"
-            $errors += "${dn}: $m"
         }
     }
 
@@ -553,10 +717,16 @@ function Export-PoliciesEndpoint {
 
     $files   = @()
     $exports = @()
+    $errors  = @()
     foreach ($id in $ids) {
         $policy = $null
-        try { $policy = Get-GraphPolicyDetail -Type $type -Id ([string]$id) } catch {}
+        try { $policy = Get-GraphPolicyDetail -Type $type -Id ([string]$id) }
-        if (-not $policy) { continue }
+        catch {
+            $errors += @{ id = [string]$id; error = $_.Exception.Message }
+            Write-Host "  [EXPORT] $type/$id fehlgeschlagen: $($_.Exception.Message)" -ForegroundColor DarkYellow
+            continue
+        }
+        if (-not $policy) { $errors += @{ id = [string]$id; error = 'Leere Antwort von Graph' }; continue }
 
         $displayName = Get-PolicyDisplayName $policy
         $exportData  = [ordered]@{
@@ -584,7 +754,7 @@ function Export-PoliciesEndpoint {
         }
     }
 
-    return @{ ok = $true; exportedCount = $exports.Count; files = @($files); exports = @($exports) }
+    return @{ ok = $true; exportedCount = $exports.Count; files = @($files); exports = @($exports); errors = @($errors) }
 }
 
 # Liste des Server-Archivs (fuer optionalen Server-seitigen Re-Import).
@@ -706,27 +876,82 @@ function Invoke-PolicyAssignEndpoint {
         $name       = [string](Get-PolicyProp $it 'policyName')
         $include    = @(Get-PolicyProp $it 'include') | Where-Object { $_ }
         $exclude    = @(Get-PolicyProp $it 'exclude') | Where-Object { $_ }
+        # Integrierte (virtuelle) Include-Ziele: Alle Geraete / Alle Benutzer.
+        $allDevices = [bool](Get-PolicyProp $it 'allDevices')
+        $allUsers   = [bool](Get-PolicyProp $it 'allUsers')
+        # Modus: 'replace' (Default, Full-Replace wie bisher) oder 'add' (bestehende
+        # Zuweisungen erhalten und die neuen Gruppen dazu mergen). Die Graph-/assign-
+        # Action ersetzt IMMER die komplette Liste -> fuer 'add' muessen die
+        # bestehenden Zuweisungen vorher gelesen und mitgeschickt werden.
+        $mode       = ([string](Get-PolicyProp $it 'mode')).ToLower()
+        if ($mode -ne 'add') { $mode = 'replace' }
         $cfg        = Get-PolicyTypeConfigByExportType $exportType
 
         if (-not $cfg) { $results += @{ id = $id; policyName = $name; success = $false; error = "Unbekannter exportType: $exportType" }; continue }
         if (-not $id)  { $results += @{ policyName = $name; success = $false; error = 'Policy-Id fehlt' }; continue }
-        if (@($include).Count -eq 0 -and @($exclude).Count -eq 0) {
+        if (@($include).Count -eq 0 -and @($exclude).Count -eq 0 -and -not $allDevices -and -not $allUsers) {
             $results += @{ id = $id; policyName = $name; success = $true; skipped = $true }
             continue
         }
 
         $assignments = @()
+        $seen        = @{}   # Dedup-Key "odataType|groupId" -> $true
+
+        if ($mode -eq 'add') {
+            # Bestehende Zuweisungen lesen und 1:1 uebernehmen (inkl. evtl. Filter/
+            # allDevices/allLicensedUsers). Schlaegt das Lesen fehl, brechen wir fuer
+            # diese Policy ab, statt versehentlich bestehende Zuweisungen zu loeschen.
+            try {
+                $existing = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$id/assignments" -Method GET
+                foreach ($a in @($existing.value)) {
+                    $t = $a.target
+                    if (-not $t) { continue }
+                    $ot  = [string]$t.'@odata.type'
+                    $gid = [string]$t.groupId
+                    $key = "$ot|$gid"
+                    if ($seen[$key]) { continue }
+                    $seen[$key] = $true
+                    $tgt = @{ '@odata.type' = $ot }
+                    if ($gid) { $tgt['groupId'] = $gid }
+                    foreach ($fld in @('deviceAndAppManagementAssignmentFilterId','deviceAndAppManagementAssignmentFilterType')) {
+                        $v = $t.$fld
+                        if ($null -ne $v -and [string]$v -ne '') { $tgt[$fld] = $v }
+                    }
+                    $assignments += @{ target = $tgt }
+                }
+            } catch {
+                $em = $_.Exception.Message
+                try { if ($_.ErrorDetails.Message) { $em = $_.ErrorDetails.Message } } catch {}
+                $results += @{ id = $id; policyName = $name; success = $false; error = "Bestehende Zuweisungen nicht lesbar (Hinzufuegen-Modus): $em" }
+                continue
+            }
+        }
+
         foreach ($g in $include) {
+            $key = "#microsoft.graph.groupAssignmentTarget|$g"
+            if ($seen[$key]) { continue }
+            $seen[$key] = $true
             $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.groupAssignmentTarget'; groupId = [string]$g } }
         }
         foreach ($g in $exclude) {
+            $key = "#microsoft.graph.exclusionGroupAssignmentTarget|$g"
+            if ($seen[$key]) { continue }
+            $seen[$key] = $true
             $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.exclusionGroupAssignmentTarget'; groupId = [string]$g } }
         }
+        if ($allDevices) {
+            $key = '#microsoft.graph.allDevicesAssignmentTarget|'
+            if (-not $seen[$key]) { $seen[$key] = $true; $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.allDevicesAssignmentTarget' } } }
+        }
+        if ($allUsers) {
+            $key = '#microsoft.graph.allLicensedUsersAssignmentTarget|'
+            if (-not $seen[$key]) { $seen[$key] = $true; $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.allLicensedUsersAssignmentTarget' } } }
+        }
         $json = @{ assignments = @($assignments) } | ConvertTo-Json -Depth 10
         $uri  = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$id/assign"
         try {
             Invoke-MgGraphRequestRetry -Uri $uri -Method POST -Body $json -ContentType 'application/json' | Out-Null
-            $results += @{ id = $id; policyName = $name; success = $true; includeCount = @($include).Count; excludeCount = @($exclude).Count }
+            $results += @{ id = $id; policyName = $name; success = $true; mode = $mode; includeCount = @($include).Count; excludeCount = @($exclude).Count }
         } catch {
             $m = $_.Exception.Message
             try { if ($_.ErrorDetails.Message) { $m = $_.ErrorDetails.Message } } catch {}

start-macos.command

@@ -0,0 +1,54 @@
+#!/usr/bin/env bash
+#
+# Intune Manager - Start auf macOS (funktioniert auch unter Linux).
+#
+# Verwendung:
+#   - Im Finder doppelklicken (Datei muss ausfuehrbar sein: chmod +x start-macos.command)
+#   - oder im Terminal:   ./start-macos.command
+#                         ./start-macos.command -Port 8090
+#                         ./start-macos.command -NoBrowser
+#
+# Alle Argumente werden unveraendert an Start.ps1 durchgereicht.
+#
+set -euo pipefail
+
+# In das Verzeichnis dieses Scripts wechseln (= Repo-Root), egal von wo gestartet.
+cd "$(dirname "$0")"
+
+echo "=============================================="
+echo " Intune Manager - Start (macOS)"
+echo "=============================================="
+
+# 1) PowerShell 7 vorhanden?
+if ! command -v pwsh >/dev/null 2>&1; then
+  echo "FEHLER: PowerShell 7 (pwsh) ist nicht installiert."
+  echo "        Installieren mit:  brew install --cask powershell"
+  exit 1
+fi
+
+# 2) Graph-Auth-Modul vorhanden? Sonst einmalig installieren.
+if ! pwsh -NoProfile -Command "if (Get-Module -ListAvailable Microsoft.Graph.Authentication) { exit 0 } else { exit 1 }"; then
+  echo "Installiere Microsoft.Graph.Authentication (einmalig, CurrentUser)..."
+  pwsh -NoProfile -Command "Install-Module Microsoft.Graph.Authentication -Scope CurrentUser -Force"
+fi
+
+# 3) Port aus den Argumenten lesen (Default 8077) - nur fuer die Port-Freigabe unten.
+PORT=8077
+args=("$@")
+for ((i=0; i<${#args[@]}; i++)); do
+  if [[ "${args[$i]}" == "-Port" && $((i+1)) -lt ${#args[@]} ]]; then
+    PORT="${args[$((i+1))]}"
+  fi
+done
+
+# 4) Belegten Port freigeben (auf macOS gibt es keinen automatischen Instanz-Kill).
+if lsof -ti ":$PORT" >/dev/null 2>&1; then
+  echo "Port $PORT ist belegt - beende alte Instanz..."
+  lsof -ti ":$PORT" | xargs kill 2>/dev/null || true
+  sleep 1
+fi
+
+# 5) Server starten. Argumente 1:1 an Start.ps1 weitergeben.
+echo "Starte Server auf http://localhost:$PORT/  (Beenden mit Ctrl+C)"
+echo ""
+exec pwsh -NoProfile -File ./Start.ps1 "$@"

tests/PolicyIO.Transform.Tests.ps1

@@ -0,0 +1,89 @@
+# Pester-Tests fuer die Payload-Transformationen in PolicyIO.ps1.
+# Diese reinen Funktionen sind genau die Bug-Klasse, die uns mehrfach getroffen
+# hat: der JSON-Roundtrip unter Windows PowerShell 5.1 entpackt Ein-Element-Arrays
+# zu Einzelobjekten -> Graph antwortet mit 400 "... does not match schema".
+#
+# Ausfuehren:  Invoke-Pester .\tests
+# (klassische Pester-3/4-Syntax, passend zur mit Windows gelieferten Version.)
+
+$here = Split-Path -Parent $MyInvocation.MyCommand.Path
+. (Join-Path $here '..\src\PolicyIO.ps1')
+
+Describe 'Repair-SettingsCatalogArrays' {
+
+    It 'macht aus einem skalaren choiceSettingCollectionValue ein Array' {
+        # Genau der Fall aus dem gefixten Defender-Antivirus-Import.
+        $node = @{
+            settingInstance = @{
+                '@odata.type'                = '#microsoft.graph.deviceManagementConfigurationChoiceSettingCollectionInstance'
+                choiceSettingCollectionValue = @{ value = 'x'; children = @() }
+            }
+        }
+        $fixed = Repair-SettingsCatalogArrays $node
+        $ccv   = $fixed.settingInstance.choiceSettingCollectionValue
+        ($ccv -is [System.Collections.IList]) | Should Be $true
+        @($ccv).Count | Should Be 1
+    }
+
+    It 'erzwingt auch group- und simpleSettingCollectionValue als Array' {
+        $node = @{
+            settingInstance = @{
+                groupSettingCollectionValue  = @{ children = @() }
+                simpleSettingCollectionValue = @{ value = 1 }
+            }
+        }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.settingInstance.groupSettingCollectionValue  -is [System.Collections.IList]) | Should Be $true
+        ($fixed.settingInstance.simpleSettingCollectionValue -is [System.Collections.IList]) | Should Be $true
+    }
+
+    It 'macht aus einem einzelnen settings-Objekt ein Array' {
+        $node  = @{ settings = @{ id = '0'; settingInstance = @{} } }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.settings -is [System.Collections.IList]) | Should Be $true
+        @($fixed.settings).Count | Should Be 1
+    }
+
+    It 'ersetzt null-Collections durch ein leeres Array (nicht {})' {
+        $node  = @{ settingInstance = @{ children = $null } }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.settingInstance.children -is [System.Collections.IList]) | Should Be $true
+        @($fixed.settingInstance.children).Count | Should Be 0
+    }
+
+    It 'ist idempotent: ein bereits korrektes Array bleibt ein Array gleicher Laenge' {
+        $node  = @{ choiceSettingCollectionValue = @( @{ value = 'a' }, @{ value = 'b' } ) }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.choiceSettingCollectionValue -is [System.Collections.IList]) | Should Be $true
+        @($fixed.choiceSettingCollectionValue).Count | Should Be 2
+    }
+
+    It 'filtert leere String-Elemente aus einer Collection heraus' {
+        $node  = @{ children = @('', @{ value = 'x' }, '   ') }
+        $fixed = Repair-SettingsCatalogArrays $node
+        @($fixed.children).Count | Should Be 1
+    }
+
+    It 'setzt einen zu String stringifizierten *TemplateReference auf null' {
+        $node  = @{ settingInstance = @{ settingInstanceTemplateReference = 'System.Collections.Hashtable' } }
+        $fixed = Repair-SettingsCatalogArrays $node
+        $fixed.settingInstance.settingInstanceTemplateReference | Should Be $null
+    }
+}
+
+Describe 'Remove-PolicyNullProps' {
+
+    It 'entfernt Properties mit null-Wert' {
+        $node  = @{ keep = 'a'; drop = $null }
+        $fixed = Remove-PolicyNullProps $node
+        $fixed.ContainsKey('keep') | Should Be $true
+        $fixed.ContainsKey('drop') | Should Be $false
+    }
+
+    It 'behaelt Array-Properties als Array' {
+        $node  = @{ values = @( @{ a = 1 } ) }
+        $fixed = Remove-PolicyNullProps $node
+        ($fixed.values -is [System.Collections.IList]) | Should Be $true
+        @($fixed.values).Count | Should Be 1
+    }
+}

www/app.js

@@ -4784,6 +4784,24 @@ document.getElementById('btnRestoreColors')?.addEventListener('click', () => {
 // Init
 // =============================================================
 
+// Prueft (nicht-blockierend) auf eine neuere Release-Version und zeigt bei Bedarf
+// das Update-Badge in der Kopfzeile mit Link zur Release-Seite.
+async function checkForUpdate() {
+  try {
+    const res = await api('/api/update/check');
+    if (res && res.updateAvailable && res.releaseUrl) {
+      const badge = document.getElementById('updateBadge');
+      const txt   = document.getElementById('updateBadgeText');
+      if (badge && txt) {
+        txt.textContent = `Update ${res.latest}`;
+        badge.href  = res.releaseUrl;
+        badge.title = `Neue Version ${res.latest} verfügbar (aktuell ${res.current}) — Release-Seite öffnen`;
+        badge.classList.remove('hidden');
+      }
+    }
+  } catch (e) { /* still: Update-Check ist optional */ }
+}
+
 (async function init() {
   renderConnection();
   renderTargets();
@@ -4807,6 +4825,7 @@ document.getElementById('btnRestoreColors')?.addEventListener('click', () => {
   }
   await refreshStatus();
   refreshTenantSwitcher();
+  checkForUpdate();   // nicht-blockierend
   if (State.connected) autoLoadAfterConnect();
   // First-Run: wenn kritische Felder leer sind, Settings-Modal automatisch oeffnen.
   if (setupNeeded) {
@@ -5776,7 +5795,8 @@ const DevState = {
   sortAsc: true,
   loaded: false,
   groupId: null,      // aktiver Gruppen-Filter (null = alle Geraete)
-  groupName: ''
+  groupName: '',
+  checked: new Set()  // per Checkbox ausgewaehlte Geraete-Ids (fuer Bulk-Offboarding)
 };
 
 async function devLoadAll() {
@@ -5789,6 +5809,7 @@ function devShowLoading(on) {
 }
 
 async function devFetch() {
+  DevState.checked.clear();   // neue Datenladung -> Auswahl zuruecksetzen
   devShowLoading(true);
   try {
     if (DevState.groupId) {
@@ -5851,12 +5872,20 @@ const DEV_COL_MAP = {
   deviceName:        'DeviceName',
   userDisplayName:   'UserDisplayName',
   operatingSystem:   'OS',
+  managementType:    'ManagementType',
   complianceState:   'ComplianceState',
   lastSyncDateTime:  'LastSync',
   enrolledDateTime:  'EnrolledDateTime',
 };
 const DEV_DATE_COLS = new Set(['LastSync', 'EnrolledDateTime']);
 
+// Verwaltungsart als Badge: Co-Managed (ConfigMgr + Intune) vs. reines Intune.
+function devMgmtBadge(type) {
+  if (type === 'Co-Managed') return '<span class="dev-badge dev-badge-comgmt">Co-Managed</span>';
+  if (type === 'Intune')     return '<span class="dev-badge dev-badge-intune">Intune</span>';
+  return '<span class="dev-badge dev-badge-unk">—</span>';
+}
+
 function devFmtDate(iso) {
   if (!iso) return '—';
   const d = new Date(iso);
@@ -5914,23 +5943,54 @@ function devRender() {
     const cmpCls = d.ComplianceState === 'compliant' ? 'dev-badge-ok'
                  : d.ComplianceState === 'noncompliant' ? 'dev-badge-err' : 'dev-badge-unk';
     const sel = DevState.selected && DevState.selected.Id === d.Id ? ' class="dev-row-selected"' : '';
+    const chk = DevState.checked.has(d.Id) ? 'checked' : '';
     html += `<tr data-id="${escapeHtml(d.Id)}"${sel}>
+      <td class="dev-col-check"><input type="checkbox" class="dev-row-check" data-id="${escapeHtml(d.Id)}" ${chk}></td>
       <td>${escapeHtml(d.DeviceName || '—')}</td>
       <td>${escapeHtml(d.UserDisplayName || '—')}</td>
       <td>${escapeHtml(d.OS || '—')}</td>
+      <td>${devMgmtBadge(d.ManagementType)}</td>
       <td><span class="dev-badge ${cmpCls}">${escapeHtml(d.ComplianceState || '—')}</span></td>
       <td>${sync}</td>
     </tr>`;
   }
   tbody.innerHTML = html;
 
+  tbody.querySelectorAll('.dev-row-check').forEach(cb => {
+    cb.addEventListener('click', e => e.stopPropagation());
+    cb.addEventListener('change', () => {
+      if (cb.checked) DevState.checked.add(cb.dataset.id);
+      else DevState.checked.delete(cb.dataset.id);
+      devUpdateCheckSel();
+    });
+  });
   tbody.querySelectorAll('tr').forEach(tr => {
-    tr.addEventListener('click', () => {
+    tr.addEventListener('click', e => {
+      if (e.target.classList.contains('dev-row-check')) return;
       const id = tr.dataset.id;
       const device = DevState.filtered.find(d => d.Id === id);
       if (device) devSelectDevice(device);
     });
   });
+  devUpdateCheckSel();
+}
+
+// Checkbox-Auswahl -> Offboard-Button + Zähler + Header-Checkbox synchronisieren.
+function devUpdateCheckSel() {
+  // Nur sichtbare (gefilterte) Geraete zaehlen.
+  const visibleIds = DevState.filtered.map(d => d.Id);
+  const n = visibleIds.filter(id => DevState.checked.has(id)).length;
+  const btn = document.getElementById('btnDevOffboard');
+  if (btn) {
+    btn.disabled = n === 0;
+    const c = document.getElementById('devOffboardCount');
+    if (c) c.textContent = n;
+  }
+  const all = document.getElementById('devCheckAll');
+  if (all) {
+    all.checked = n > 0 && n === visibleIds.length;
+    all.indeterminate = n > 0 && n < visibleIds.length;
+  }
 }
 
 async function devSelectDevice(device) {
@@ -5967,12 +6027,16 @@ function devRenderDetail(d) {
     ['Benutzer',      d.UserDisplayName],
     ['UPN',           d.UserPrincipalName],
     ['OS',            d.OS ? `${d.OS} ${d.OSVersion || ''}`.trim() : null],
+    ['Verwaltung',    d.ManagementType],
     ['Compliance',    d.ComplianceState],
     ['Seriennummer',  d.SerialNumber],
     ['IMEI',          d.Imei],
     ['Wi-Fi MAC',     d.WiFiMac],
     ['Speicher',      storage],
     ['Eingeschrieben', enrolled],
+    ['Autopilot',      d.InAutopilot ? 'Registriert' : (d.InAutopilot === false ? 'Nicht in Autopilot' : null)],
+    ['Autopilot-Profil zugewiesen', d.AutopilotProfileAssigned ? devFmtDate(d.AutopilotProfileAssigned) : null],
+    ['Autopilot letzter Kontakt',   d.AutopilotLastContacted ? devFmtDate(d.AutopilotLastContacted) : null],
     ['Letzter Sync',  sync],
     ['Join-Typ',      d.JoinType],
     ['Besitzertyp',   d.OwnerType],
@@ -6171,12 +6235,12 @@ document.addEventListener('click', e => {
 function devExportCsv() {
   const items = DevState.filtered || [];
   if (items.length === 0) { toast('Keine Geräte zum Exportieren.', 'warn'); return; }
-  const header = ['DeviceName','UserDisplayName','UserPrincipalName','OS','OSVersion','ComplianceState','SerialNumber','Model','Manufacturer','LastSync','EnrolledDateTime'];
+  const header = ['DeviceName','UserDisplayName','UserPrincipalName','OS','OSVersion','ManagementType','ComplianceState','SerialNumber','Model','Manufacturer','LastSync','EnrolledDateTime'];
   const rows = [header];
   for (const d of items) {
     rows.push([
       d.DeviceName || '', d.UserDisplayName || '', d.UserPrincipalName || '',
-      d.OS || '', d.OSVersion || '', d.ComplianceState || '',
+      d.OS || '', d.OSVersion || '', d.ManagementType || '', d.ComplianceState || '',
       d.SerialNumber || '', d.Model || '', d.Manufacturer || '',
       d.LastSync ? devFmtDate(d.LastSync) : '', d.EnrolledDateTime ? devFmtDate(d.EnrolledDateTime) : '',
     ]);
@@ -6193,6 +6257,34 @@ function devExportCsv() {
 
 document.getElementById('btnDevExport')?.addEventListener('click', devExportCsv);
 
+// Alle sichtbaren Geraete an-/abwaehlen
+document.getElementById('devCheckAll')?.addEventListener('change', e => {
+  const on = e.target.checked;
+  DevState.filtered.forEach(d => { if (on) DevState.checked.add(d.Id); else DevState.checked.delete(d.Id); });
+  // Checkboxen in der Tabelle spiegeln, ohne komplett neu zu rendern
+  document.querySelectorAll('#devTableBody .dev-row-check').forEach(cb => { cb.checked = on; });
+  devUpdateCheckSel();
+});
+
+// Ausgewaehlte Geraete offboarden -> IDs aufloesen (Entra/Autopilot) und Dialog oeffnen
+async function devOffboardSelected() {
+  const ids = DevState.filtered.filter(d => DevState.checked.has(d.Id)).map(d => d.Id);
+  if (ids.length === 0) { toast('Keine Geräte ausgewählt.', 'warn'); return; }
+  setLoading(`Löse ${ids.length} Gerät(e) für Offboarding auf…`);
+  try {
+    const res = await api('/api/offboard/resolve', { method: 'POST', body: { ids }, timeoutMs: 120000 });
+    const items = res.items || [];
+    if (items.length === 0) { toast('Geräte konnten nicht aufgelöst werden.', 'err'); return; }
+    // Offboard-Dialog mit genau diesen Geräten öffnen (unabhängig vom Offboard-Tab).
+    openOffboardModal(items);
+  } catch (e) {
+    toast('Offboarding-Auflösung fehlgeschlagen: ' + e.message, 'err');
+  } finally {
+    clearLoading();
+  }
+}
+document.getElementById('btnDevOffboard')?.addEventListener('click', devOffboardSelected);
+
 // Sortierung
 document.querySelectorAll('#devTable th.sortable').forEach(th => {
   th.addEventListener('click', () => {
@@ -6229,7 +6321,7 @@ function polFmtDate(iso) {
 
 async function loadPolicies() {
   const body = document.getElementById('polBody');
-  body.innerHTML = `<tr><td colspan="5" class="pol-hint"><span class="spinner" style="width:14px;height:14px;border-width:2px;"></span> Lade Policies…</td></tr>`;
+  body.innerHTML = `<tr><td colspan="6" class="pol-hint"><span class="spinner" style="width:14px;height:14px;border-width:2px;"></span> Lade Policies…</td></tr>`;
   // Drei Typen parallel laden; ein fehlschlagender Typ (z.B. fehlender Scope)
   // soll die anderen nicht blockieren.
   const endpoints = [
@@ -6276,7 +6368,7 @@ function renderPolicies() {
   const list = polFiltered();
   document.getElementById('polCount').textContent = list.length;
   if (!list.length) {
-    body.innerHTML = `<tr><td colspan="5" class="pol-empty">${PolState.items.length ? 'Keine Policy passt zum Filter.' : 'Keine Policies gefunden.'}</td></tr>`;
+    body.innerHTML = `<tr><td colspan="6" class="pol-empty">${PolState.items.length ? 'Keine Policy passt zum Filter.' : 'Keine Policies gefunden.'}</td></tr>`;
     polUpdateSelCount();
     return;
   }
@@ -6288,9 +6380,19 @@ function renderPolicies() {
       <td class="pol-name" title="${escapeHtml(p.name || '')}">${escapeHtml(p.name || '—')}</td>
       <td><span class="pol-type-badge">${escapeHtml(p.typeLabel || p.type)}</span></td>
       <td>${escapeHtml(p.platform || '—')}</td>
+      <td class="pol-col-asg">${p.assignmentCount > 0
+        ? `<button type="button" class="pol-asg-badge" data-key="${escapeHtml(key)}" title="Zuweisungen anzeigen">${p.assignmentCount}</button>`
+        : '<span class="muted">—</span>'}</td>
       <td>${polFmtDate(p.lastModifiedDateTime)}</td>
     </tr>`;
   }).join('');
+  body.querySelectorAll('.pol-asg-badge').forEach(btn => {
+    btn.addEventListener('click', e => {
+      e.stopPropagation();
+      const p = PolState.items.find(x => polKey(x) === btn.dataset.key);
+      if (p) openPolAssignView(p);
+    });
+  });
   body.querySelectorAll('.pol-row-check').forEach(cb => {
     cb.addEventListener('change', () => {
       if (cb.checked) PolState.selected.add(cb.dataset.key);
@@ -6317,6 +6419,12 @@ function polUpdateSelCount() {
   const n = keys.length;
   document.getElementById('polSelCount').textContent = n;
   document.getElementById('btnPolExport').disabled = n === 0;
+  const btnA = document.getElementById('btnPolAssignGroups');
+  if (btnA) {
+    btnA.disabled = n === 0;
+    const c = document.getElementById('polAssignSelCount');
+    if (c) c.textContent = n;
+  }
   // Konsolidieren nur bei >=2 Policies UND alle vom Typ Settings Catalog.
   const btnC = document.getElementById('btnPolConsolidate');
   if (btnC) {
@@ -6359,11 +6467,17 @@ async function polExportSelected() {
   setLoading('Exportiere Policies…');
   try {
     let allExports = [];
+    let allErrors  = [];
     for (const [type, ids] of Object.entries(byType)) {
       const res = await api('/api/policies/export', { method: 'POST', body: { type, ids }, timeoutMs: 120000 });
       if (res.exports) allExports = allExports.concat(res.exports);
+      if (res.errors)  allErrors  = allErrors.concat(res.errors);
+    }
+    if (!allExports.length) {
+      const hint = allErrors.length ? ` (${allErrors.length} Fehler, z.B. ${escapeHtml(allErrors[0].error || '')})` : '';
+      toast('Nichts exportiert.' + hint, 'err', 'Export');
+      return;
     }
-    if (!allExports.length) { toast('Nichts exportiert.', 'warn'); return; }
     // Jede ausgewählte Policy als eigene JSON-Datei herunterladen.
     const usedNames = new Set();
     for (let i = 0; i < allExports.length; i++) {
@@ -6376,7 +6490,11 @@ async function polExportSelected() {
       // Kurze Pause, damit der Browser mehrere aufeinanderfolgende Downloads nicht verwirft.
       if (i < allExports.length - 1) await new Promise(r => setTimeout(r, 150));
     }
-    toast(`${allExports.length} Policy(s) als Einzeldatei(en) exportiert (auch im Server-Archiv abgelegt).`, 'ok');
+    if (allErrors.length) {
+      toast(`${allExports.length} exportiert, ${allErrors.length} fehlgeschlagen (z.B. ${escapeHtml(allErrors[0].error || 'Fehler')}).`, 'warn', 'Export');
+    } else {
+      toast(`${allExports.length} Policy(s) als Einzeldatei(en) exportiert (auch im Server-Archiv abgelegt).`, 'ok');
+    }
   } catch (e) {
     toast('Export fehlgeschlagen: ' + e.message, 'err');
   } finally {
@@ -6604,6 +6722,8 @@ function openPolAssignModal(assignable) {
     exportType: r.exportType || '',
     include: [],
     exclude: [],
+    allDevices: false,
+    allUsers: false,
   }));
   renderPolAssignList();
   openModal('modalPolAssign');
@@ -6630,6 +6750,10 @@ function renderPolAssignList() {
           </div>
         `).join('')}
       </div>
+      <div class="pol-assign-builtin">
+        <label class="pol-bulk-check"><input type="checkbox" class="pol-assign-alldev" data-idx="${i}" ${p.allDevices ? 'checked' : ''}> Alle Geräte</label>
+        <label class="pol-bulk-check"><input type="checkbox" class="pol-assign-allusr" data-idx="${i}" ${p.allUsers ? 'checked' : ''}> Alle Benutzer</label>
+      </div>
     </div>
   `).join('');
   PolAssignState.policies.forEach((_, i) => {
@@ -6655,10 +6779,18 @@ function renderPolAssignChips(idx, kind) {
 function updatePolAssignInfo() {
   const info = document.getElementById('polAssignInfo');
   if (!info) return;
-  const n = PolAssignState.policies.filter(p => p.include.length || p.exclude.length).length;
+  const n = PolAssignState.policies.filter(p => p.include.length || p.exclude.length || p.allDevices || p.allUsers).length;
   info.textContent = n ? `${n} Policy(s) mit Zuweisung` : 'Keine Zuweisung gewählt';
 }
 
+// Integrierte Ziele (Alle Geräte/Benutzer) pro Policy im Post-Import-Modal.
+document.getElementById('polAssignList')?.addEventListener('change', e => {
+  const dev = e.target.closest('.pol-assign-alldev');
+  const usr = e.target.closest('.pol-assign-allusr');
+  if (dev) { PolAssignState.policies[+dev.dataset.idx].allDevices = dev.checked; updatePolAssignInfo(); }
+  else if (usr) { PolAssignState.policies[+usr.dataset.idx].allUsers = usr.checked; updatePolAssignInfo(); }
+});
+
 let _polAssignSearchTimer = null;
 function polAssignHideDropdowns() {
   document.querySelectorAll('.pol-assign-dropdown').forEach(d => { d.classList.add('hidden'); d.innerHTML = ''; });
@@ -6723,27 +6855,24 @@ document.addEventListener('click', e => {
 
 document.getElementById('polAssignApply')?.addEventListener('click', async () => {
   const items = PolAssignState.policies
-    .filter(p => p.include.length || p.exclude.length)
+    .filter(p => p.include.length || p.exclude.length || p.allDevices || p.allUsers)
     .map(p => ({
       exportType: p.exportType,
       id: p.id,
       policyName: p.name,
       include: p.include.map(g => g.id),
       exclude: p.exclude.map(g => g.id),
+      allDevices: !!p.allDevices,
+      allUsers: !!p.allUsers,
+      mode: 'replace',   // frisch importierte Policy hat noch keine Zuweisungen
     }));
   if (!items.length) { closeModal('modalPolAssign'); return; }
   setLoading('Weise Gruppen zu…');
   try {
     const res = await api('/api/policies/assign', { method: 'POST', body: { items }, timeoutMs: 120000 });
-    const results = res.results || [];
-    const fail = results.filter(r => !r.success);
-    if (fail.length) {
-      const first = fail[0];
-      toast(`${res.assignedCount || 0} zugewiesen, ${fail.length} fehlgeschlagen. z.B. "${first.policyName || '?'}": ${first.error || 'Fehler'}`, 'err', 'Zuweisung');
-    } else {
-      toast(`${res.assignedCount || 0} Policy(s) zugewiesen.`, 'ok', 'Zuweisung');
-    }
     closeModal('modalPolAssign');
+    showPolAssignResult(res.results || [], 'replace');
+    await loadPolicies();
   } catch (e) {
     toast('Zuweisung fehlgeschlagen: ' + e.message, 'err');
   } finally {
@@ -6751,6 +6880,208 @@ document.getElementById('polAssignApply')?.addEventListener('click', async () =>
   }
 });
 
+// =============================================================
+// Bulk: mehreren ausgewählten Policies dieselben Gruppen zuweisen
+// =============================================================
+const POL_TYPE_TO_EXPORT = {
+  settingscatalog:        'SettingsCatalog',
+  compliance:             'CompliancePolicy',
+  configuration:          'ConfigurationProfile',
+  administrativetemplate: 'AdministrativeTemplate',
+};
+const PolBulkAssign = { policies: [], include: [], exclude: [] };
+let _polBulkSearchTimer = null;
+
+// Zuweisungen einer einzelnen Policy ansehen (aus der Listen-Spalte).
+function openPolAssignView(p) {
+  document.getElementById('polAssignViewName').innerHTML =
+    `<b>${escapeHtml(p.name || '—')}</b> <span class="pol-type-badge">${escapeHtml(p.typeLabel || p.type)}</span>`;
+  const body = document.getElementById('polAssignViewBody');
+  const asg = p.assignments || [];
+  if (!asg.length) {
+    body.innerHTML = '<div class="muted">Keine Zuweisungen.</div>';
+  } else {
+    const label = a => a.kind === 'allDevices' ? 'Alle Geräte'
+      : a.kind === 'allUsers' ? 'Alle Benutzer'
+      : (a.groupName || a.groupId);
+    const inc = asg.filter(a => a.mode === 'include');
+    const exc = asg.filter(a => a.mode === 'exclude');
+    const chip = (a, cls) => `<span class="pol-assign-chip ${cls}">${escapeHtml(label(a))}</span>`;
+    body.innerHTML =
+      `<div class="pol-av-group"><label class="lbl">Include (${inc.length})</label>`
+      + `<div class="pol-assign-chips">${inc.length ? inc.map(a => chip(a, '')).join('') : '<span class="muted">—</span>'}</div></div>`
+      + `<div class="pol-av-group" style="margin-top:12px;"><label class="lbl">Exclude (${exc.length})</label>`
+      + `<div class="pol-assign-chips">${exc.length ? exc.map(a => chip(a, 'exclude')).join('') : '<span class="muted">—</span>'}</div></div>`;
+  }
+  openModal('modalPolAssignView');
+}
+
+function openPolBulkAssign() {
+  const sel = PolState.items.filter(p => PolState.selected.has(polKey(p)));
+  if (!sel.length) return;
+  PolBulkAssign.policies = sel.map(p => ({
+    id: p.id,
+    name: p.name || '(ohne Name)',
+    exportType: POL_TYPE_TO_EXPORT[p.type] || '',
+  }));
+  PolBulkAssign.include = [];
+  PolBulkAssign.exclude = [];
+  document.getElementById('polBulkCount').textContent = sel.length;
+  document.getElementById('polBulkNames').innerHTML = PolBulkAssign.policies.map(p =>
+    `<span class="pol-bulk-name">${escapeHtml(p.name)} <span class="pol-type-badge">${escapeHtml(POL_TYPE_LABELS[p.exportType] || 'Policy')}</span></span>`
+  ).join('');
+  const addRadio = document.querySelector('input[name="polBulkMode"][value="add"]');
+  if (addRadio) addRadio.checked = true;
+  const ad = document.getElementById('polBulkAllDevices'); if (ad) ad.checked = false;
+  const au = document.getElementById('polBulkAllUsers');   if (au) au.checked = false;
+  renderPolBulkChips('include');
+  renderPolBulkChips('exclude');
+  updatePolBulkApply();
+  openModal('modalPolBulkAssign');
+}
+
+function renderPolBulkChips(kind) {
+  const box = document.querySelector(`.pol-assign-chips[data-scope="bulk"][data-kind="${kind}"]`);
+  if (!box) return;
+  box.innerHTML = PolBulkAssign[kind].map((g, j) => `
+    <span class="pol-assign-chip ${kind === 'exclude' ? 'exclude' : ''}">
+      ${escapeHtml(g.name)}
+      <button type="button" data-kind="${kind}" data-j="${j}" aria-label="Entfernen">×</button>
+    </span>`).join('');
+  updatePolBulkApply();
+}
+
+function updatePolBulkApply() {
+  const inc = PolBulkAssign.include.length, exc = PolBulkAssign.exclude.length;
+  const allDev = document.getElementById('polBulkAllDevices')?.checked || false;
+  const allUsr = document.getElementById('polBulkAllUsers')?.checked  || false;
+  const has = inc + exc > 0 || allDev || allUsr;
+  const btn = document.getElementById('polBulkApply');
+  if (btn) btn.disabled = !has;
+  const info = document.getElementById('polBulkInfo');
+  if (info) {
+    if (!has) { info.textContent = 'Mindestens eine Gruppe oder ein integriertes Ziel wählen.'; }
+    else {
+      const parts = [];
+      if (allDev) parts.push('Alle Geräte');
+      if (allUsr) parts.push('Alle Benutzer');
+      if (inc) parts.push(`${inc} Include`);
+      if (exc) parts.push(`${exc} Exclude`);
+      info.textContent = parts.join(' · ');
+    }
+  }
+}
+
+function polBulkHideDropdowns() {
+  document.querySelectorAll('.pol-bulk-dropdown').forEach(d => { d.classList.add('hidden'); d.innerHTML = ''; });
+}
+
+// Gruppensuche (debounced) im Bulk-Modal
+document.getElementById('modalPolBulkAssign')?.addEventListener('input', e => {
+  const input = e.target.closest('.pol-bulk-search');
+  if (!input) return;
+  const kind = input.dataset.kind;
+  const dd = document.querySelector(`.pol-bulk-dropdown[data-kind="${kind}"]`);
+  const q = input.value.trim();
+  clearTimeout(_polBulkSearchTimer);
+  if (q.length < 2) { if (dd) { dd.classList.add('hidden'); dd.innerHTML = ''; } return; }
+  if (dd) { dd.classList.remove('hidden'); dd.innerHTML = '<div class="msg">Suche…</div>'; }
+  _polBulkSearchTimer = setTimeout(async () => {
+    try {
+      const data = await api(`/api/groups/search?q=${encodeURIComponent(q)}`);
+      const items = (data.items || []).slice(0, 25);
+      if (!dd) return;
+      if (!items.length) { dd.innerHTML = '<div class="msg">Keine Gruppen gefunden.</div>'; return; }
+      dd.innerHTML = items.map(g => `
+        <div class="opt" data-id="${escapeHtml(g.Id)}" data-name="${escapeHtml(g.DisplayName)}">
+          <div>${escapeHtml(g.DisplayName)}</div>
+          ${g.Description ? `<div class="desc">${escapeHtml(g.Description)}</div>` : ''}
+        </div>`).join('');
+    } catch (err) {
+      if (dd) dd.innerHTML = `<div class="msg">Suche fehlgeschlagen: ${escapeHtml(err.message)}</div>`;
+    }
+  }, 300);
+});
+
+// Option wählen / Chip entfernen im Bulk-Modal
+document.getElementById('modalPolBulkAssign')?.addEventListener('click', e => {
+  const opt = e.target.closest('.pol-bulk-dropdown .opt');
+  if (opt) {
+    const dd = opt.closest('.pol-bulk-dropdown');
+    const kind = dd.dataset.kind;
+    const id = opt.dataset.id, name = opt.dataset.name;
+    const other = kind === 'include' ? 'exclude' : 'include';
+    if (!PolBulkAssign[kind].some(g => g.id === id) && !PolBulkAssign[other].some(g => g.id === id)) {
+      PolBulkAssign[kind].push({ id, name });
+      renderPolBulkChips(kind);
+    }
+    const input = document.querySelector(`.pol-bulk-search[data-kind="${kind}"]`);
+    if (input) input.value = '';
+    dd.classList.add('hidden'); dd.innerHTML = '';
+    return;
+  }
+  const rm = e.target.closest('.pol-assign-chip button');
+  if (rm) {
+    const kind = rm.dataset.kind, j = +rm.dataset.j;
+    PolBulkAssign[kind].splice(j, 1);
+    renderPolBulkChips(kind);
+  }
+});
+document.addEventListener('click', e => {
+  if (!e.target.closest('#modalPolBulkAssign .pol-assign-search-wrap')) polBulkHideDropdowns();
+});
+
+document.getElementById('polBulkAllDevices')?.addEventListener('change', updatePolBulkApply);
+document.getElementById('polBulkAllUsers')?.addEventListener('change', updatePolBulkApply);
+
+document.getElementById('polBulkApply')?.addEventListener('click', async () => {
+  const inc = PolBulkAssign.include.map(g => g.id);
+  const exc = PolBulkAssign.exclude.map(g => g.id);
+  const allDevices = document.getElementById('polBulkAllDevices')?.checked || false;
+  const allUsers   = document.getElementById('polBulkAllUsers')?.checked  || false;
+  if (!inc.length && !exc.length && !allDevices && !allUsers) return;
+  const mode = (document.querySelector('input[name="polBulkMode"]:checked')?.value) === 'replace' ? 'replace' : 'add';
+  const items = PolBulkAssign.policies.map(p => ({
+    exportType: p.exportType, id: p.id, policyName: p.name,
+    include: inc, exclude: exc, allDevices, allUsers, mode,
+  }));
+  setLoading('Weise Gruppen zu…');
+  try {
+    const res = await api('/api/policies/assign', { method: 'POST', body: { items }, timeoutMs: 180000 });
+    closeModal('modalPolBulkAssign');
+    showPolAssignResult(res.results || [], mode);
+    await loadPolicies();   // Zuweisungs-Zähler in der Liste aktualisieren
+  } catch (e) {
+    toast('Zuweisung fehlgeschlagen: ' + e.message, 'err');
+  } finally {
+    clearLoading();
+  }
+});
+
+// Ergebnis einer (Bulk-)Zuweisung pro Policy anzeigen.
+function showPolAssignResult(results, mode) {
+  const ok   = results.filter(r => r.success && !r.skipped).length;
+  const skip = results.filter(r => r.success && r.skipped).length;
+  const fail = results.filter(r => !r.success).length;
+  document.getElementById('polBulkResultSummary').innerHTML =
+    `Modus: <b>${mode === 'add' ? 'Hinzufügen' : 'Ersetzen'}</b> — `
+    + `<span class="pol-res-ok">${ok} zugewiesen</span>`
+    + (skip ? ` · <span class="muted">${skip} übersprungen</span>` : '')
+    + (fail ? ` · <span class="pol-res-err">${fail} fehlgeschlagen</span>` : '');
+  document.getElementById('polBulkResultBody').innerHTML = results.map(r => {
+    let badge, detail = '';
+    if (!r.success) { badge = '<span class="pol-res-badge err">Fehler</span>'; detail = `<span class="pol-res-msg">${escapeHtml(r.error || 'Unbekannter Fehler')}</span>`; }
+    else if (r.skipped) { badge = '<span class="pol-res-badge skip">Übersprungen</span>'; }
+    else { badge = '<span class="pol-res-badge ok">Zugewiesen</span>'; }
+    return `<div class="pol-res-row">${badge}<span class="pol-res-name">${escapeHtml(r.policyName || r.id || '—')}</span>${detail}</div>`;
+  }).join('');
+  openModal('modalPolBulkResult');
+  const anyFail = fail > 0;
+  toast(anyFail ? `${ok} zugewiesen, ${fail} fehlgeschlagen.` : `${ok} Policy(s) zugewiesen.`, anyFail ? 'warn' : 'ok', 'Zuweisung');
+}
+
+document.getElementById('btnPolAssignGroups')?.addEventListener('click', openPolBulkAssign);
+
 // Alle Policies als Snapshot in den konfigurierten Git-Ordner schreiben + committen.
 async function polGitSnapshot() {
   setLoading('Erstelle Policy-Snapshot & committe…');
@@ -6816,8 +7147,10 @@ document.querySelectorAll('#polTable th.sortable').forEach(th => {
 // =============================================================
 // OFFBOARDING: Geräte aus Intune / Autopilot / Entra entfernen
 // =============================================================
-const OffState = { items: [], selected: new Set() };
+const OffState = { items: [], selected: new Set(), pending: [] };
-function offKey(d) { return d.intuneDeviceId; }
+// Eindeutiger Zeilen-Key: Intune-Geräte haben eine intuneDeviceId, reine
+// Autopilot-Geräte nicht -> auf Autopilot-/Entra-Id bzw. Seriennummer ausweichen.
+function offKey(d) { return d.intuneDeviceId || d.autopilotId || d.azureADDeviceId || d.entraObjectId || d.serialNumber || ''; }
 function offSelectedDevices() { return OffState.items.filter(d => OffState.selected.has(offKey(d))); }
 
 async function offSearch() {
@@ -6889,12 +7222,13 @@ function offUpdateSel() {
   document.getElementById('offBtn').disabled = n === 0;
 }
 
-function openOffboardModal() {
+function openOffboardModal(devsArg) {
-  const devs = offSelectedDevices();
+  const devs = Array.isArray(devsArg) ? devsArg : offSelectedDevices();
   if (!devs.length) return;
+  OffState.pending = devs;
   document.getElementById('offConfirmList').innerHTML = devs.map(d => `
     <div class="off-confirm-row"><b>${escapeHtml(d.deviceName || '—')}</b>
-      — Intune: ${d.intuneDeviceId ? '✓' : '–'}, Entra: ${d.entraObjectId ? '✓' : '–'}, Autopilot: ${d.autopilotId ? '✓' : '–'}</div>
+      — Intune: ${d.intuneDeviceId ? '✓' : '–'}, Entra: ${d.entraObjectId ? '✓' : '–'}, Autopilot: ${d.autopilotId ? '✓' : '–'}${(!d.autopilotId && d.autopilotNote) ? ` <span class="off-note" style="color:var(--warning,#e0a030);">(${escapeHtml(d.autopilotNote)})</span>` : ''}</div>
   `).join('');
   document.getElementById('offModalInfo').textContent = `${devs.length} Gerät(e)`;
   document.getElementById('offConfirmChk').checked = false;
@@ -6931,7 +7265,7 @@ async function offLoadKeys(devs) {
 }
 
 async function offExecute() {
-  const devs = offSelectedDevices();
+  const devs = (OffState.pending && OffState.pending.length) ? OffState.pending : offSelectedDevices();
   if (!devs.length) return;
   const services = {
     entra:     document.querySelector('input[name="offEntra"]:checked').value,
@@ -6951,9 +7285,30 @@ async function offExecute() {
   try {
     const res = await api('/api/offboard/execute', { method: 'POST', body: { devices: payload, services }, timeoutMs: 180000 });
     const results = res.results || [];
+    // Ergebnis pro Gerät gruppieren
+    const byDev = new Map();
+    for (const r of results) {
+      if (!byDev.has(r.deviceName)) byDev.set(r.deviceName, []);
+      byDev.get(r.deviceName).push(r);
+    }
+    const devHtml = [...byDev.entries()].map(([name, rows]) => {
+      const errs = rows.filter(r => !r.success).length;
+      const lines = rows.map(r =>
+        `<div class="off-result ${r.success ? 'ok' : 'fail'}">${r.success ? '✓' : '✗'} ${escapeHtml(r.service)} ${escapeHtml(r.action)}${r.error ? ': ' + escapeHtml(r.error) : ''}</div>`
+      ).join('');
+      return `<div class="off-result-dev">
+        <div class="off-result-devname">${escapeHtml(name || '—')}${errs ? ` <span class="off-result-badge">${errs} Fehler</span>` : ''}</div>
+        ${lines}
+      </div>`;
+    }).join('');
+    const reportLink = res.reportUrl
+      ? `<a href="${escapeHtml(res.reportUrl)}" target="_blank" rel="noopener" class="btn btn-secondary btn-sm" style="margin-top:12px;display:inline-flex;align-items:center;gap:6px;">
+          <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M14 2H6a2 2 0 0 0-2 2v16a2 2 0 0 0 2 2h12a2 2 0 0 0 2-2V8z"/><polyline points="14 2 14 8 20 8"/><line x1="16" y1="13" x2="8" y2="13"/><line x1="16" y1="17" x2="8" y2="17"/><line x1="10" y1="9" x2="8" y2="9"/></svg>
+          HTML-Report öffnen
+        </a>`
+      : '';
     document.getElementById('offResults').innerHTML =
-      `<div class="lbl">Ergebnis (${res.successCount}/${res.total})</div>` +
+      `<div class="lbl">Ergebnis (${res.successCount}/${res.total})</div>${devHtml}${reportLink}`;
-      results.map(r => `<div class="off-result ${r.success ? 'ok' : 'fail'}">${r.success ? '✓' : '✗'} ${escapeHtml(r.deviceName)} — ${escapeHtml(r.service)} ${escapeHtml(r.action)}${r.error ? ': ' + escapeHtml(r.error) : ''}</div>`).join('');
     toast(`${res.successCount}/${res.total} Aktionen erfolgreich.`, res.successCount === res.total ? 'ok' : 'warn', 'Offboarding');
     // Erfolgreich vollständig offgeboardete Geräte aus der Liste nehmen.
     const doneNames = new Set(results.filter(r => r.success).map(r => r.deviceName));

www/help.md

@@ -16,13 +16,16 @@ Web-Frontend für Microsoft Intune. Lädt Apps und Gruppen aus deinem Tenant üb
 
 ## Navigation
 
-Der Header enthält drei Tabs:
+Der Header enthält diese Tabs:
 
 | Tab | Funktion |
 |---|---|
 | **App Management** | Haupt-Workflow: Apps laden, Gruppen zuweisen und entfernen |
 | **Group Management** | Mitglieder anzeigen, exportieren, hinzufügen, CSV-Import |
 | **App Report** | Installationszähler pro App, Geräte-Export als CSV |
+| **Geräte** | Geräte suchen/filtern, Verwaltungsart (Intune/Co-Managed), Detail-Panel, Aktionen, Bulk-Offboarding |
+| **Policies** | Policies exportieren/importieren, konsolidieren, **Gruppen zuweisen (Bulk)**, Git-Snapshot |
+| **Offboarding** | Geräte über Intune + Autopilot + Entra entfernen, Recovery-Keys sichern |
 
 > Im **Read-Only-Modus** (Fallback auf eingeschränkte App-ID) sind die Tabs *Benutzer hinzufügen* und *CSV-Import* ausgeblendet. Alle Schreib-Buttons verschwinden automatisch.
 
@@ -141,6 +144,59 @@ Ohne Header: erste Spalte mit `@` wird verwendet. Quoted fields und `,`/`;`/Tab
 
 ---
 
+## Geräte
+
+Geräte des Tenants suchen, filtern und verwalten.
+
+- **Suche & Filter** — Freitext (Gerätename, Benutzer, UPN, Seriennummer), OS- und Compliance-Filter. Zusätzlich lässt sich nach **Gruppe** filtern (alle Geräte der Gruppenmitglieder).
+- **Spalte „Verwaltung"** — zeigt je Gerät, ob es **Intune** (reines MDM) oder **Co-Managed** (ConfigMgr + Intune) ist. Sortierbar, auch im CSV-Export enthalten.
+- **Detail-Panel** (Klick auf eine Zeile) — Benutzer, OS, Compliance, Speicher, Seriennummer, Join-/Besitzertyp und der **Autopilot-Status** (registriert, Profil zugewiesen am, letzter Kontakt). Ein exaktes Autopilot-Importdatum liefert Microsoft Graph nicht — angezeigt werden die verfügbaren Zeitstempel.
+- **Geräte-Aktionen** *(nur Read/Write)* — Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation sowie Wipe / Retire / Autopilot-Reset (Letztere brauchen `…PrivilegedOperations.All`).
+- **CSV-Export** — die aktuell gefilterte Liste als CSV.
+- **Bulk-Offboarding** — Geräte per Checkbox wählen und über **„Offboarden"** direkt in den Offboarding-Dialog übergeben.
+
+---
+
+## Policies
+
+Intune-Policies verwalten: Settings Catalog, Compliance, Konfigurationsprofile und Administrative Vorlagen.
+
+- **Neu laden** — lädt alle vier Typen. Tabelle sortier-/durchsuchbar, Typ-Filter oben.
+- **Spalte „Zuweisungen"** — zeigt die Anzahl der Ziele je Policy; Klick öffnet die Detail-Ansicht mit den konkreten Include-/Exclude-Gruppen bzw. „Alle Geräte / Alle Benutzer".
+- **Export** — ausgewählte Policies als JSON (einzeln oder gebündelt); zusätzlich im Server-Archiv abgelegt.
+- **Import** *(nur Read/Write)* — legt Policies **immer als neue Policy** an (nichts wird überschrieben). Nach dem Import kann optional pro Policy zugewiesen werden.
+- **Konsolidieren** *(nur Read/Write, nur Settings Catalog)* — mehrere Settings-Catalog-Policies zu einer neuen zusammenführen; Konflikte werden pro Einstellung aufgelöst.
+- **Gruppen zuweisen (Bulk)** *(nur Read/Write)* — siehe unten.
+- **Git-Snapshot** — alle Policies als JSON in einen konfigurierten lokalen Git-Ordner schreiben und committen (versioniertes Backup).
+
+### Gruppen zuweisen (Bulk)
+
+Weist mehreren ausgewählten Policies **in einem Schritt** dieselben Gruppen zu — auch typübergreifend.
+
+1. Eine oder mehrere Policies anhaken → Button **„Gruppen zuweisen"**.
+2. Im Dialog **Include-/Exclude-Gruppen** wählen; zusätzlich die integrierten Ziele **Alle Geräte** und **Alle Benutzer**.
+3. **Modus** wählen:
+   - **Hinzufügen** (Default) — bestehende Zuweisungen bleiben erhalten, die Auswahl kommt hinzu.
+   - **Ersetzen** — alle bisherigen Zuweisungen werden durch die Auswahl ersetzt.
+4. **Zuweisen** — das Ergebnis wird pro Policy (Erfolg / übersprungen / Fehler) angezeigt.
+
+> Hintergrund: Die Graph-`/assign`-Action ersetzt immer die komplette Zuweisungsliste. Der Hinzufügen-Modus liest deshalb die bestehenden Zuweisungen zuerst aus und sendet sie zusammen mit den neuen — ist das Auslesen nicht möglich, wird die Policy übersprungen statt versehentlich überschrieben.
+
+---
+
+## Offboarding
+
+Geräte am Ende ihres Lebenszyklus sauber über alle Dienste entfernen.
+
+- **Suche** — nach Gerätename oder Seriennummer. Durchsucht **Intune und Autopilot** — reine Autopilot-Geräte (registriert, aber nicht in Intune enrolled) werden also ebenfalls gefunden.
+- Pro Treffer zeigen Badges, in welchen Diensten das Gerät vorhanden ist: **Intune**, **Entra**, **Autopilot** (und **Co-Mgmt**).
+- **Recovery-Keys sichern** — vor dem Löschen lassen sich BitLocker-Keys und LAPS-Passwörter auslesen (`BitlockerKey.Read.All` / `DeviceLocalCredential.Read.All`).
+- **Offboarden** — löscht pro Gerät wahlweise aus Intune, Autopilot und Entra (Entra: löschen oder nur deaktivieren). Nach dem Ausführen öffnet sich ein **HTML-Report** mit dem Ergebnis pro Gerät.
+
+> **Wichtig:** Das Löschen benötigt bei delegierter Anmeldung zusätzlich passende Verzeichnis-/Intune-**Rollen** (z. B. Cloud Device Administrator / Intune Administrator) — die Graph-Scopes allein reichen nicht.
+
+---
+
 ## Header
 
 | Element | Funktion |

www/index.html

@@ -41,6 +41,10 @@
   </nav>
 
   <div class="header-actions">
+    <a id="updateBadge" class="update-badge hidden" href="#" target="_blank" rel="noopener" title="Update verfügbar — Release-Seite öffnen">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 12a9 9 0 1 1-3-6.7"/><polyline points="21 3 21 9 15 9"/></svg>
+      <span id="updateBadgeText">Update</span>
+    </a>
     <button id="btnSettings" class="icon-btn icon-btn-header" title="Einstellungen" aria-label="Einstellungen öffnen">
       <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><path d="M19.4 15a1.7 1.7 0 0 0 .34 1.86l.06.06a2 2 0 0 1-2.83 2.83l-.06-.06a1.7 1.7 0 0 0-1.86-.34 1.7 1.7 0 0 0-1.04 1.57V21a2 2 0 0 1-4 0v-.09a1.7 1.7 0 0 0-1.1-1.57 1.7 1.7 0 0 0-1.86.34l-.06.06a2 2 0 1 1-2.83-2.83l.06-.06a1.7 1.7 0 0 0 .34-1.86 1.7 1.7 0 0 0-1.57-1.04H3a2 2 0 0 1 0-4h.09A1.7 1.7 0 0 0 4.66 9a1.7 1.7 0 0 0-.34-1.86l-.06-.06a2 2 0 1 1 2.83-2.83l.06.06a1.7 1.7 0 0 0 1.86.34H9a1.7 1.7 0 0 0 1.04-1.57V3a2 2 0 0 1 4 0v.09c0 .68.42 1.29 1.04 1.57.62.27 1.36.13 1.86-.34l.06-.06a2 2 0 1 1 2.83 2.83l-.06.06a1.7 1.7 0 0 0-.34 1.86V9a1.7 1.7 0 0 0 1.57 1.04H21a2 2 0 0 1 0 4h-.09a1.7 1.7 0 0 0-1.51 1z"/></svg>
     </button>
@@ -507,6 +511,10 @@
       <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 15v4a2 2 0 0 1-2 2H5a2 2 0 0 1-2-2v-4"/><polyline points="7 10 12 15 17 10"/><line x1="12" y1="15" x2="12" y2="3"/></svg>
       CSV
     </button>
+    <button id="btnDevOffboard" class="btn btn-danger btn-sm dev-offboard-btn" disabled title="Ausgewählte Geräte offboarden (Intune / Autopilot / Entra)">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M9 21H5a2 2 0 0 1-2-2V5a2 2 0 0 1 2-2h4"/><polyline points="16 17 21 12 16 7"/><line x1="21" y1="12" x2="9" y2="12"/></svg>
+      Offboarden (<span id="devOffboardCount">0</span>)
+    </button>
   </div>
 
   <div class="dev-layout">
@@ -515,9 +523,11 @@
       <table class="dev-table" id="devTable">
         <thead>
           <tr>
+            <th class="dev-col-check"><input type="checkbox" id="devCheckAll" title="Alle sichtbaren auswählen"></th>
             <th class="sortable" data-col="deviceName">Gerät <span class="sort-ico"></span></th>
             <th class="sortable" data-col="userDisplayName">Benutzer <span class="sort-ico"></span></th>
             <th class="sortable" data-col="operatingSystem">OS <span class="sort-ico"></span></th>
+            <th class="sortable" data-col="managementType">Verwaltung <span class="sort-ico"></span></th>
             <th class="sortable" data-col="complianceState">Compliance <span class="sort-ico"></span></th>
             <th class="sortable" data-col="lastSyncDateTime">Letzter Sync <span class="sort-ico"></span></th>
           </tr>
@@ -609,6 +619,10 @@
       <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><line x1="12" y1="3" x2="12" y2="9"/><line x1="12" y1="15" x2="12" y2="21"/><circle cx="12" cy="3" r="1"/><circle cx="12" cy="21" r="1"/></svg>
       Git-Snapshot
     </button>
+    <button class="btn btn-secondary btn-sm pol-write" id="btnPolAssignGroups" disabled title="Ausgewählten Policies Gruppen zuweisen (Bulk)">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M17 21v-2a4 4 0 0 0-4-4H5a4 4 0 0 0-4 4v2"/><circle cx="9" cy="7" r="4"/><path d="M23 21v-2a4 4 0 0 0-3-3.87"/><path d="M16 3.13a4 4 0 0 1 0 7.75"/></svg>
+      Gruppen zuweisen (<span id="polAssignSelCount">0</span>)
+    </button>
     <button class="btn btn-secondary btn-sm pol-write" id="btnPolConsolidate" disabled title="Ausgewählte Settings-Catalog-Policies zu einer neuen Policy zusammenführen">
       <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M7 3v6a3 3 0 0 0 3 3h4a3 3 0 0 1 3 3v6"/><polyline points="3 7 7 3 11 7"/><polyline points="13 17 17 21 21 17"/></svg>
       Konsolidieren
@@ -626,11 +640,12 @@
           <th class="sortable" data-col="name">Name <span class="sort-ico"></span></th>
           <th class="sortable" data-col="typeLabel">Typ <span class="sort-ico"></span></th>
           <th class="sortable" data-col="platform">Plattform <span class="sort-ico"></span></th>
+          <th class="sortable" data-col="assignmentCount">Zuweisungen <span class="sort-ico"></span></th>
           <th class="sortable" data-col="lastModifiedDateTime">Geändert <span class="sort-ico"></span></th>
         </tr>
       </thead>
       <tbody id="polBody">
-        <tr><td colspan="5" class="pol-hint">Klicke auf „Neu laden" um Policies zu laden.</td></tr>
+        <tr><td colspan="6" class="pol-hint">Klicke auf „Neu laden" um Policies zu laden.</td></tr>
       </tbody>
     </table>
   </div>
@@ -974,6 +989,94 @@
   </div>
 </div>
 
+<!-- Bulk: mehreren ausgewählten Policies dieselben Gruppen zuweisen -->
+<div id="modalPolBulkAssign" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Gruppen zuweisen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="form-hint" style="margin-bottom:12px;">
+        Die gewählten Include-/Exclude-Gruppen werden auf <b><span id="polBulkCount">0</span></b> ausgewählte Policy(s) angewendet.
+      </div>
+      <div id="polBulkNames" class="pol-bulk-names"></div>
+      <div class="pol-assign-pickers" style="margin-top:12px;">
+        <div class="pol-assign-picker" data-kind="include">
+          <label class="lbl">Include-Gruppen</label>
+          <div class="pol-assign-chips" data-scope="bulk" data-kind="include"></div>
+          <div class="pol-assign-search-wrap">
+            <input type="text" class="input pol-bulk-search" data-kind="include" placeholder="Gruppe suchen…" autocomplete="off">
+            <div class="pol-assign-dropdown pol-bulk-dropdown hidden" data-kind="include"></div>
+          </div>
+        </div>
+        <div class="pol-assign-picker" data-kind="exclude">
+          <label class="lbl">Exclude-Gruppen</label>
+          <div class="pol-assign-chips" data-scope="bulk" data-kind="exclude"></div>
+          <div class="pol-assign-search-wrap">
+            <input type="text" class="input pol-bulk-search" data-kind="exclude" placeholder="Gruppe suchen…" autocomplete="off">
+            <div class="pol-assign-dropdown pol-bulk-dropdown hidden" data-kind="exclude"></div>
+          </div>
+        </div>
+      </div>
+      <div class="pol-bulk-builtin" style="margin-top:14px;">
+        <label class="lbl">Integrierte Ziele (Include)</label>
+        <label class="pol-bulk-check"><input type="checkbox" id="polBulkAllDevices"> Alle Geräte</label>
+        <label class="pol-bulk-check"><input type="checkbox" id="polBulkAllUsers"> Alle Benutzer</label>
+      </div>
+      <div class="pol-bulk-mode" style="margin-top:16px;">
+        <label class="lbl">Modus</label>
+        <label class="pol-bulk-radio"><input type="radio" name="polBulkMode" value="add" checked>
+          <span><b>Hinzufügen</b> — bestehende Zuweisungen bleiben erhalten, neue Gruppen kommen dazu.</span></label>
+        <label class="pol-bulk-radio"><input type="radio" name="polBulkMode" value="replace">
+          <span><b>Ersetzen</b> — alle bisherigen Zuweisungen der Policy werden durch die gewählten Gruppen ersetzt.</span></label>
+      </div>
+    </div>
+    <div class="modal-foot">
+      <span id="polBulkInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Abbrechen</button>
+      <button class="btn btn-primary" id="polBulkApply" disabled>Zuweisen</button>
+    </div>
+  </div>
+</div>
+
+<!-- Zuweisungen einer Policy ansehen -->
+<div id="modalPolAssignView" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box">
+    <div class="modal-head">
+      <h3>Zuweisungen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div id="polAssignViewName" class="form-hint" style="margin-bottom:12px;"></div>
+      <div id="polAssignViewBody"></div>
+    </div>
+    <div class="modal-foot">
+      <button class="btn btn-secondary" data-close>Schließen</button>
+    </div>
+  </div>
+</div>
+
+<!-- Ergebnis der Bulk-Zuweisung -->
+<div id="modalPolBulkResult" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Ergebnis der Zuweisung</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div id="polBulkResultSummary" class="form-hint" style="margin-bottom:12px;"></div>
+      <div id="polBulkResultBody" class="pol-result-list"></div>
+    </div>
+    <div class="modal-foot">
+      <button class="btn btn-primary" data-close>Schließen</button>
+    </div>
+  </div>
+</div>
+
 <!-- MODAL: Geräte-Offboarding -->
 <div id="modalOffboard" class="modal hidden">
   <div class="modal-backdrop" data-close></div>
@@ -1065,6 +1168,9 @@
   .off-result { font-size:13px; padding:3px 0; overflow-wrap:anywhere; }
   .off-result.ok { color:var(--success); }
   .off-result.fail { color:var(--error); }
+  .off-result-dev { border:1px solid var(--hairline-soft, var(--hairline)); border-radius:8px; padding:8px 12px; margin-bottom:8px; }
+  .off-result-devname { font-weight:600; font-size:13px; margin-bottom:4px; display:flex; align-items:center; gap:8px; }
+  .off-result-badge { font-size:10.5px; font-weight:700; padding:1px 8px; border-radius:999px; background:rgba(245,80,80,0.18); color:var(--error); }
   #offResults .lbl { display:block; font-size:12px; color:var(--body); margin:10px 0 4px; }
 </style>
 

www/styles.css

@@ -335,6 +335,24 @@ h1, h2, h3 {
 
 .header-actions { display: flex; align-items: center; gap: 12px; }
 
+/* Update-Hinweis-Badge (neue Version verfuegbar) */
+.update-badge {
+  display: inline-flex;
+  align-items: center;
+  gap: 6px;
+  padding: 5px 11px;
+  border-radius: 999px;
+  background: var(--accent-soft);
+  color: var(--brand-accent);
+  border: 1px solid var(--brand-accent);
+  font-size: 12px;
+  font-weight: 600;
+  text-decoration: none;
+  white-space: nowrap;
+  transition: filter var(--tx, 0.15s ease-out);
+}
+.update-badge:hover { filter: brightness(0.96); }
+
 /* Theme-Toggle — Slide-Switch */
 .theme-toggle {
   appearance: none;
@@ -4969,6 +4987,7 @@ body.read-only .gex-add-pane,
 body.read-only .gex-tab[data-tab="add"],
 body.read-only .gex-tab[data-tab="import"],
 body.read-only #gexPaneImport,
+body.read-only .dev-offboard-btn,
 body.read-only .pol-write {
   display: none !important;
 }
@@ -5373,6 +5392,8 @@ body.read-only .app-row {
 }
 .dev-table thead th.sortable { cursor: pointer; }
 .dev-table thead th.sortable:hover { color: var(--text); }
+.dev-col-check { width: 34px; text-align: center; padding-left: 6px; padding-right: 6px; }
+.dev-col-check input { cursor: pointer; }
 .dev-table tbody tr {
   cursor: pointer;
   border-bottom: 1px solid var(--hairline-soft);
@@ -5406,6 +5427,8 @@ body.read-only .app-row {
 .dev-badge-ok  { background: rgba(74,222,128,.15); color: #4ade80; }
 .dev-badge-err { background: rgba(248,113,113,.15); color: #f87171; }
 .dev-badge-unk { background: var(--hairline-soft);  color: var(--muted); }
+.dev-badge-intune { background: rgba(96,165,250,.15); color: #60a5fa; }
+.dev-badge-comgmt { background: rgba(251,191,36,.15); color: #fbbf24; }
 
 /* Detail-Panel */
 .dev-detail {
@@ -5529,6 +5552,68 @@ body.read-only .app-row {
   font-size: 13px;
 }
 
+/* Gruppen-Zuweisungs-Picker (Post-Import & Bulk) */
+.pol-assign-pickers { display: flex; gap: 16px; flex-wrap: wrap; }
+.pol-assign-picker { flex: 1 1 240px; min-width: 220px; }
+.pol-assign-picker .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-assign-chips { display: flex; flex-wrap: wrap; gap: 6px; margin-bottom: 6px; }
+.pol-assign-chip {
+  display: inline-flex; align-items: center; gap: 4px;
+  padding: 2px 4px 2px 9px; border-radius: var(--r-pill, 999px);
+  font-size: 12px; background: rgba(96,165,250,.15); color: #60a5fa;
+}
+.pol-assign-chip.exclude { background: rgba(248,113,113,.15); color: #f87171; }
+.pol-assign-chip button {
+  border: 0; background: transparent; color: inherit; cursor: pointer;
+  font-size: 15px; line-height: 1; padding: 0 3px; border-radius: 50%;
+}
+.pol-assign-chip button:hover { background: rgba(0,0,0,.15); }
+.pol-assign-search-wrap { position: relative; }
+.pol-assign-dropdown {
+  position: absolute; z-index: 20; left: 0; right: 0; top: calc(100% + 2px);
+  max-height: 240px; overflow-y: auto;
+  background: var(--canvas, #1b1b1b); border: 1px solid var(--hairline, #333);
+  border-radius: 8px; box-shadow: 0 8px 24px rgba(0,0,0,.35);
+}
+.pol-assign-dropdown .opt { padding: 7px 10px; cursor: pointer; font-size: 13px; }
+.pol-assign-dropdown .opt:hover { background: var(--hover, rgba(255,255,255,.06)); }
+.pol-assign-dropdown .opt .desc { font-size: 11px; color: var(--text-dim, #888); margin-top: 1px; }
+.pol-assign-dropdown .msg { padding: 8px 10px; font-size: 12px; color: var(--text-dim, #888); }
+.pol-assign-builtin { margin-top: 10px; }
+
+/* Bulk-Zuweisung: Policy-Liste + Modus */
+.pol-bulk-names { display: flex; flex-wrap: wrap; gap: 6px; max-height: 120px; overflow-y: auto; }
+.pol-bulk-name {
+  display: inline-flex; align-items: center; gap: 6px;
+  padding: 3px 9px; border-radius: 6px; font-size: 12.5px;
+  background: var(--bg3, var(--hover)); color: var(--ink, inherit);
+}
+.pol-bulk-mode .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-bulk-radio { display: flex; gap: 8px; align-items: flex-start; margin-bottom: 8px; font-size: 13px; cursor: pointer; }
+.pol-bulk-radio input { margin-top: 2px; }
+.pol-bulk-builtin .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-bulk-check { display: inline-flex; align-items: center; gap: 6px; margin-right: 18px; font-size: 13px; cursor: pointer; }
+/* Zuweisungs-Spalte + Detailansicht */
+.pol-asg-badge {
+  min-width: 24px; padding: 1px 8px; border: 1px solid var(--hairline, #333);
+  border-radius: var(--r-pill, 999px); background: var(--bg3, var(--hover));
+  color: var(--ink, inherit); font-size: 12px; font-weight: 600; cursor: pointer;
+}
+.pol-asg-badge:hover { border-color: var(--accent, #60a5fa); color: var(--accent, #60a5fa); }
+.pol-av-group .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+/* Ergebnis-Report der Zuweisung */
+.pol-result-list { max-height: 50vh; overflow-y: auto; }
+.pol-res-row { display: flex; align-items: center; gap: 10px; padding: 6px 0; border-bottom: 1px solid var(--hairline-soft, rgba(255,255,255,.06)); font-size: 13px; }
+.pol-res-row:last-child { border-bottom: 0; }
+.pol-res-name { font-weight: 500; }
+.pol-res-msg { color: #f87171; font-size: 12px; margin-left: auto; text-align: right; }
+.pol-res-badge { flex: none; font-size: 11px; font-weight: 600; padding: 2px 8px; border-radius: var(--r-pill, 999px); }
+.pol-res-badge.ok   { background: rgba(74,222,128,.15); color: #4ade80; }
+.pol-res-badge.err  { background: rgba(248,113,113,.15); color: #f87171; }
+.pol-res-badge.skip { background: var(--hairline-soft); color: var(--muted, #999); }
+.pol-res-ok  { color: #4ade80; }
+.pol-res-err { color: #f87171; }
+
 /* =============================================================
    Multi-Tenant: Topbar-Umschalter + Profil-Editor
    ============================================================= */