Doku: vollständige Graph-Berechtigungen für den vollen Funktionsumfang

README: Berechtigungstabelle nach Bereich gruppiert (Kern, Geräte-Tab,
Offboarding, Read-Only) inkl. der neuen Abhängigkeiten
DeviceManagementServiceConfig.* (Autopilot-Status im Geräte-Detail,
Autopilot-Suche im Offboarding). App-Registration.md entsprechend ergänzt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

CHANGELOG.md

@@ -5,6 +5,17 @@ Versionierung folgt [Semantic Versioning](https://semver.org/lang/de/) — solan
 
 ---
 
+## [0.1.35] - 2026-09-15
+
+Settings-Catalog-Import-Fix und Update-Check hinter Proxy.
+
+### Behoben
+
+- **Settings-Catalog-Import** (400 „Property choiceSettingCollectionValue … does not match schema"): `choiceSettingCollectionValue` fehlte in der Array-Normalisierung. Beim JSON-Roundtrip unter PowerShell 5.1 wurde ein Ein-Element-`choiceSettingCollectionValue` zum Einzelobjekt entpackt und von Graph abgelehnt (z. B. „Default Defender Antivirus Policy"). Wird jetzt wie `group-`/`simpleSettingCollectionValue` behandelt.
+- **Update-Check hinter authentifiziertem Proxy** (HTTP 407): Der Versions-Check schlug hinter Unternehmens-Proxys (NTLM/Kerberos) still fehl, weil `Invoke-RestMethod` keine Anmeldeinformationen an den Proxy sendete. Die angemeldeten Windows-Credentials werden jetzt an den System-Proxy durchgereicht; optionaler expliziter Proxy über `settings.json → update.proxy`.
+
+---
+
 ## [0.1.34] - 2026-09-14
 
 Verwaltungsart in der Geräteliste, Autopilot-Zeitstempel im Detail.

README.md

@@ -105,24 +105,63 @@ Settings → Verbindung
   Scopes RO:               DeviceManagementApps.Read.All ...
 ```
 
-### Benoetigt Graph-Berechtigungen
+### Benoetigte Graph-Berechtigungen (voller Funktionsumfang)
 
-| Funktion                         | Benoetigt                                    |
+Alle Berechtigungen sind **delegiert** (Microsoft Graph) — die App handelt im Namen
-|----------------------------------|----------------------------------------------|
+des angemeldeten Admins. Der **Kern** deckt App-Management, Group-Management und
-| Apps anzeigen                    | `DeviceManagementApps.Read.All`              |
+Policies ab; die **Geräte-** und **Offboarding**-Scopes sind optional und nur für
-| Gruppen anzeigen / Mitglieder    | `GroupMember.Read.All`                       |
+den jeweiligen Tab nötig. `offline_access` liefert das Refresh-Token (Device-Code-Flow).
-| User suchen                      | `User.Read.All`                              |
+
-| Zuweisungen aendern              | `DeviceManagementApps.ReadWrite.All`         |
+**Kern — immer erforderlich (App Management, Group Management, App Report, Policies)**
-| Gruppen-Mitglieder aendern       | `GroupMember.ReadWrite.All`                  |
+
-| App-Installationszaehler (Report)| `DeviceManagementManagedDevices.Read.All` ⚠  |
+| Berechtigung | Wofür |
-| Geraete-Exportliste pro App      | `DeviceManagementManagedDevices.Read.All` ⚠  |
+|---|---|
+| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
+| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
+| `User.Read.All` | Benutzersuche, UPN-Auflösung |
+| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren |
+| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, **zuweisen (Bulk)**, konsolidieren, Git-Snapshot |
+| `DeviceManagementManagedDevices.Read.All` | App-Report (Installationszähler) und Geräte-Export pro App ⚠ |
+| `offline_access` | Refresh-Token |
 
 > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur
-> Zaehler = 0 und der Geraete-Export liefert keine Eintraege.
+> Zähler = 0 und der Geräte-Export liefert keine Einträge. Dieser Scope ist
+> zugleich die Basis für den gesamten Geräte-Tab (siehe unten).
 
-**Vollstaendige Berechtigungsliste, Redirect-URIs und ein Skript, das die
+**Geräte-Tab (optional)** — Geräte suchen, Detail-Panel, Aktionen
-App-Registrierung automatisch anlegt/konfiguriert:**
+
-[docs/App-Registration.md](docs/App-Registration.md) — inkl.
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten, Detail-Panel, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
+| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
+
+**Geräte-Offboarding (optional)** — Geräte aus Intune + Autopilot + Entra entfernen, Recovery-Keys lesen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte-Suche (Intune) |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot-Suche **und** Löschen aus Autopilot |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
+| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
+| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
+| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
+
+> **Rollen:** Das Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
+> Anmeldung zusätzlich passende **Verzeichnis-/Intune-Rollen** (z. B. *Cloud Device
+> Administrator* bzw. *Intune Administrator*) — die Scopes allein reichen nicht
+> (sonst `403`). Alle optionalen Scopes müssen außerdem in den **Read/Write-Scopes**
+> des Tools stehen (Einstellungen → Verbindung), damit sie im Token landen.
+
+**Read-Only-Variante** (reine Anzeige-App als `clientIdRo`): die `*.Read.All`-Pendants —
+`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
+`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
+`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All` und
+`DeviceManagementServiceConfig.Read.All` für den Geräte-Tab).
+
+**Redirect-URIs und ein Skript, das die App-Registrierung automatisch
+anlegt/konfiguriert:** [docs/App-Registration.md](docs/App-Registration.md) — inkl.
 [`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1).
 
 ---
@@ -134,8 +173,8 @@ App-Registrierung automatisch anlegt/konfiguriert:**
 | App Management     | Haupt-Ansicht: Apps laden, Gruppen zuweisen / entfernen     |
 | Group Management   | Mitglieder anzeigen/exportieren, Benutzer **und Gruppen** hinzufuegen, CSV-Import |
 | App Report         | Installationszaehler pro App, Geraete-Export als CSV        |
-| Geräte             | Geraete suchen, Filter (auch nach **Gruppe**), CSV-Export, **Bulk-Offboarding**, Detail-Panel, Aktionen (Sync, Wipe, …) |
+| Geräte             | Geraete suchen, Filter (auch nach **Gruppe**), Spalte **Verwaltung** (Intune / Co-Managed), CSV-Export, **Bulk-Offboarding**, Detail-Panel (inkl. **Autopilot**-Status) und Aktionen (Sync, Wipe, …) |
-| Policies           | Policies exportieren/importieren (Neuanlage) und **zusammenfuehren** (Settings Catalog) |
+| Policies           | Policies exportieren/importieren (Neuanlage), **zusammenfuehren** (Settings Catalog) und **Gruppen zuweisen** (Bulk) |
 
 ---
 
@@ -246,6 +285,29 @@ neu an. Unterstuetzte Typen:
   Anlegen angezeigt; pro Konflikt waehlst du, welche Policy gewinnt
 - Voraussetzung: gleiche Plattform. Zuweisungen werden nicht uebernommen.
 
+### Gruppen zuweisen (Bulk) *(nur Read/Write)*
+
+Weist mehreren ausgewaehlten Policies **in einem Schritt** dieselben Gruppen zu —
+typuebergreifend (Settings Catalog, Compliance, Konfigurationsprofil,
+Administrative Vorlage gemischt).
+
+- Eine oder mehrere Policies per Checkbox waehlen → Button
+  **„Gruppen zuweisen"** in der Toolbar.
+- Im Dialog **Include-** und/oder **Exclude-Gruppen** einmal waehlen; zusaetzlich
+  die integrierten Include-Ziele **Alle Geraete** und **Alle Benutzer**.
+- **Zwei Modi:**
+  - **Hinzufuegen** (Default): bestehende Zuweisungen jeder Policy bleiben
+    erhalten, die gewaehlten Gruppen/Ziele kommen hinzu (dedupliziert, inkl.
+    vorhandener Filter- und Alle-Geraete/Benutzer-Ziele).
+  - **Ersetzen**: alle bisherigen Zuweisungen der Policy werden durch die
+    Auswahl ersetzt.
+- Hintergrund: Die Graph-`/assign`-Action ersetzt immer die **komplette**
+  Zuweisungsliste — der Hinzufuegen-Modus liest die bestehenden Zuweisungen
+  daher zuerst aus und schickt sie zusammen mit den neuen mit. Ist das Auslesen
+  fuer eine Policy nicht moeglich, wird sie uebersprungen (statt versehentlich
+  bestehende Zuweisungen zu loeschen).
+- Ergebnis-Toast meldet Erfolg/Fehler pro Policy.
+
 ### Benoetigt Graph-Berechtigung
 
 `DeviceManagementConfiguration.ReadWrite.All` (Import) bzw.
@@ -324,6 +386,7 @@ Intune Manager/
 | GET     | `/api/policies/exports`                    | —         | Server-Archiv der Exporte auflisten      |
 | POST    | `/api/policies/import`                     | **Write** | Policies als Neuanlage importieren       |
 | POST    | `/api/policies/consolidate`                | **Write** | Settings-Catalog-Policies zusammenfuehren |
+| POST    | `/api/policies/assign`                     | **Write** | Policies Gruppen/Alle-Geraete/-Benutzer zuweisen (Bulk, Add/Replace) |
 
 > **Read+MDM** = benoetigt zusaetzlich `DeviceManagementManagedDevices.Read.All`
 > **Read+Cfg** = benoetigt `DeviceManagementConfiguration.Read.All` (Export) bzw. `.ReadWrite.All` (Import)

Start.ps1

@@ -189,7 +189,7 @@ $script:State = [pscustomobject]@{
     Session        = @()      # geplante Zuweisungen
 }
 
-$script:ToolVersion = "0.1.34"
+$script:ToolVersion = "0.1.35"
 $script:BuildStamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
 
 Write-Host ""

docs/App-Registration.md

@@ -38,7 +38,8 @@ Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) gen
 
 | Berechtigung | Wofür |
 |---|---|
-| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen |
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
 | `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
 
@@ -51,7 +52,7 @@ entfernen, Recovery-Keys lesen) genutzt wird:
 |---|---|
 | `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
-| `DeviceManagementServiceConfig.ReadWrite.All` | Gerät aus Autopilot löschen |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot durchsuchen und Gerät aus Autopilot löschen |
 | `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
 | `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
 

installer/build-local.ps1

@@ -12,7 +12,7 @@ if (Test-Path "$x64Dotnet\dotnet.exe") {
     $env:DOTNET_ROOT = "C:\Program Files\dotnet"
 }
 
-$version      = "0.1.34"
+$version      = "0.1.35"
 $src          = "\\Mac\Home\ClaudePRJ\Intune Manager"
 $stage        = "$env:TEMP\IntuneManagerStage"
 $installerDir = "$src\installer"

src/Api.ps1

@@ -183,8 +183,26 @@ function Get-UpdateCheckEndpoint {
     if ($token) { $headers['Authorization'] = "token $token" }
 
     try { [Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12 } catch {}
+
+    # Proxy: Hinter authentifizierten Unternehmens-Proxys (NTLM/Kerberos) scheitert
+    # Invoke-RestMethod sonst mit "407 Proxyauthentifizierung erforderlich", weil
+    # standardmaessig keine Anmeldeinformationen an den Proxy gesendet werden. Die
+    # angemeldeten Windows-Credentials an den (System-)Proxy durchreichen. Optional
+    # laesst sich ein expliziter Proxy ueber Settings.update.proxy setzen.
+    $proxyArgs = @{}
     try {
-        $rel = Invoke-RestMethod -Uri $api -Headers $headers -Method GET -TimeoutSec 8
+        $proxyUrl = ''
+        if ($script:Settings.update -and $script:Settings.update.proxy) { $proxyUrl = [string]$script:Settings.update.proxy }
+        if ($proxyUrl) {
+            $proxyArgs['Proxy'] = $proxyUrl
+            $proxyArgs['ProxyUseDefaultCredentials'] = $true
+        } elseif ([System.Net.WebRequest]::DefaultWebProxy) {
+            [System.Net.WebRequest]::DefaultWebProxy.Credentials = [System.Net.CredentialCache]::DefaultCredentials
+        }
+    } catch {}
+
+    try {
+        $rel = Invoke-RestMethod -Uri $api -Headers $headers -Method GET -TimeoutSec 8 @proxyArgs
         $latest = ([string]$rel.tag_name).TrimStart('v','V')
         $out.latest          = $latest
         $out.releaseUrl      = [string]$rel.html_url

src/Offboard.ps1

@@ -54,8 +54,93 @@ function Search-OffboardDevicesEndpoint {
         }
         return @{ __status = 500; error = "Graph-Fehler bei der Suche: $m" }
     }
-    if ($intune.Count -eq 0) { return @{ items = @(); count = 0 } }
+    $items = @()
-    return @{ items = @(Resolve-OffboardItems -IntuneDevices $intune); count = $intune.Count }
+    if ($intune.Count -gt 0) { $items = @(Resolve-OffboardItems -IntuneDevices $intune) }
+
+    # Zusaetzlich Autopilot direkt durchsuchen: Geraete, die in Autopilot registriert,
+    # aber (noch) nicht in Intune enrolled sind (oder aus Intune entfernt wurden),
+    # tauchen in der managedDevices-Suche nicht auf.
+    $apItems = @(Search-AutopilotOnly -Query $q -Type $type -ExistingItems $items)
+    $items   = @($items) + @($apItems)
+
+    return @{ items = @($items); count = @($items).Count }
+}
+
+# Durchsucht windowsAutopilotDeviceIdentities direkt und liefert Offboard-Items fuer
+# Geraete, die noch nicht ueber die Intune-Suche abgedeckt sind. Namenssuche laeuft
+# ueber displayName (nicht garantiert unterstuetzt -> Fehler werden still ignoriert),
+# Seriennummer ueber contains(serialNumber).
+function Search-AutopilotOnly {
+    param([string]$Query, [string]$Type, [object[]]$ExistingItems)
+    $qEsc = $Query -replace "'", "''"
+    $apFilter = if ($Type -eq 'serial') { "contains(serialNumber,'$qEsc')" } else { "startswith(displayName,'$qEsc')" }
+    $sel = 'id,serialNumber,displayName,azureAdDeviceId,managedDeviceId,userPrincipalName,model,manufacturer,groupTag,enrollmentState'
+    $uri = "https://graph.microsoft.com/beta/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$([Uri]::EscapeDataString($apFilter))&`$select=$sel&`$top=50"
+    $ap  = @()
+    try {
+        $ap = @(Get-GraphPaged -Uri $uri)
+    } catch {
+        $m = Get-OffboardGraphErr $_
+        Write-Host "  [OFFBOARD] Autopilot-Suche ($Type='$Query'): $m" -ForegroundColor DarkYellow
+        return @()
+    }
+    if ($ap.Count -eq 0) { return @() }
+
+    # Bereits durch die Intune-Suche abgedeckte Geraete rausfiltern (Seriennummer/Autopilot-Id).
+    $seenSer = @{}; $seenApId = @{}
+    foreach ($it in @($ExistingItems)) {
+        $s = ([string]$it.serialNumber).Trim().ToLower(); if ($s) { $seenSer[$s] = $true }
+        $aid = [string]$it.autopilotId; if ($aid) { $seenApId[$aid] = $true }
+    }
+    $new = @($ap | Where-Object {
+        $s   = ([string]$_.serialNumber).Trim().ToLower()
+        $aid = [string]$_.id
+        -not ($seenApId[$aid] -or ($s -and $seenSer[$s]))
+    })
+    if ($new.Count -eq 0) { return @() }
+
+    # Entra-Objekt per azureAdDeviceId nachladen (fuer Delete).
+    $reqs = @(); $idx = 0
+    foreach ($a in $new) {
+        $aad = [string]$a.azureAdDeviceId
+        if ($aad -and $aad -ne '00000000-0000-0000-0000-000000000000') {
+            $f = [Uri]::EscapeDataString("deviceId eq '$aad'")
+            $reqs += @{ id = "e$idx"; method = 'GET'; url = "/devices?`$filter=$f&`$select=id,deviceId,displayName,accountEnabled&`$top=1" }
+        }
+        $idx++
+    }
+    $batch = if ($reqs.Count -gt 0) { Invoke-GraphBatch -Requests $reqs } else { @{} }
+
+    $items = @(); $idx = 0
+    foreach ($a in $new) {
+        $entra = $null
+        $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
+        $mdid = [string]$a.managedDeviceId
+        $hasIntune = ($mdid -and $mdid -ne '00000000-0000-0000-0000-000000000000')
+        $dn = [string]$a.displayName
+        if (-not $dn) { $dn = if ($a.serialNumber) { "SN $([string]$a.serialNumber)" } else { '(Autopilot-Geraet)' } }
+        $items += [pscustomobject]@{
+            deviceName      = $dn
+            serialNumber    = [string]$a.serialNumber
+            operatingSystem = 'Windows'
+            osVersion       = ''
+            primaryUser     = [string]$a.userPrincipalName
+            lastSync        = $null
+            ownership       = ''
+            coManaged       = $false
+            intuneDeviceId  = if ($hasIntune) { $mdid } else { '' }
+            azureADDeviceId = [string]$a.azureAdDeviceId
+            entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
+            entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
+            autopilotId     = [string]$a.id
+            autopilotNote   = ''
+            inIntune        = [bool]$hasIntune
+            inEntra         = [bool]$entra
+            inAutopilot     = $true
+        }
+        $idx++
+    }
+    return @($items)
 }
 
 # Reichert Intune-managedDevice-Objekte mit Entra-Objekt-Id + Autopilot-Id an

src/PolicyIO.ps1

@@ -230,7 +230,7 @@ function ConvertTo-ImportBody {
 # Arrays. Idempotent: bereits korrekte Arrays bleiben unveraendert.
 function Repair-SettingsCatalogArrays {
     param($Node)
-    $arrayKeys = @('settings','children','groupSettingCollectionValue','simpleSettingCollectionValue','values')
+    $arrayKeys = @('settings','children','groupSettingCollectionValue','simpleSettingCollectionValue','choiceSettingCollectionValue','values')
     # *TemplateReference-Keys tragen ein Objekt ODER null. Ein alter Export mit zu
     # geringer ConvertTo-Json-Tiefe hat solche (tief liegenden) Objekte zu ".ToString()"
     # stringifiziert -> "System.Collections.Hashtable". Graph lehnt das ab
@@ -706,27 +706,82 @@ function Invoke-PolicyAssignEndpoint {
         $name       = [string](Get-PolicyProp $it 'policyName')
         $include    = @(Get-PolicyProp $it 'include') | Where-Object { $_ }
         $exclude    = @(Get-PolicyProp $it 'exclude') | Where-Object { $_ }
+        # Integrierte (virtuelle) Include-Ziele: Alle Geraete / Alle Benutzer.
+        $allDevices = [bool](Get-PolicyProp $it 'allDevices')
+        $allUsers   = [bool](Get-PolicyProp $it 'allUsers')
+        # Modus: 'replace' (Default, Full-Replace wie bisher) oder 'add' (bestehende
+        # Zuweisungen erhalten und die neuen Gruppen dazu mergen). Die Graph-/assign-
+        # Action ersetzt IMMER die komplette Liste -> fuer 'add' muessen die
+        # bestehenden Zuweisungen vorher gelesen und mitgeschickt werden.
+        $mode       = ([string](Get-PolicyProp $it 'mode')).ToLower()
+        if ($mode -ne 'add') { $mode = 'replace' }
         $cfg        = Get-PolicyTypeConfigByExportType $exportType
 
         if (-not $cfg) { $results += @{ id = $id; policyName = $name; success = $false; error = "Unbekannter exportType: $exportType" }; continue }
         if (-not $id)  { $results += @{ policyName = $name; success = $false; error = 'Policy-Id fehlt' }; continue }
-        if (@($include).Count -eq 0 -and @($exclude).Count -eq 0) {
+        if (@($include).Count -eq 0 -and @($exclude).Count -eq 0 -and -not $allDevices -and -not $allUsers) {
             $results += @{ id = $id; policyName = $name; success = $true; skipped = $true }
             continue
         }
 
         $assignments = @()
+        $seen        = @{}   # Dedup-Key "odataType|groupId" -> $true
+
+        if ($mode -eq 'add') {
+            # Bestehende Zuweisungen lesen und 1:1 uebernehmen (inkl. evtl. Filter/
+            # allDevices/allLicensedUsers). Schlaegt das Lesen fehl, brechen wir fuer
+            # diese Policy ab, statt versehentlich bestehende Zuweisungen zu loeschen.
+            try {
+                $existing = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$id/assignments" -Method GET
+                foreach ($a in @($existing.value)) {
+                    $t = $a.target
+                    if (-not $t) { continue }
+                    $ot  = [string]$t.'@odata.type'
+                    $gid = [string]$t.groupId
+                    $key = "$ot|$gid"
+                    if ($seen[$key]) { continue }
+                    $seen[$key] = $true
+                    $tgt = @{ '@odata.type' = $ot }
+                    if ($gid) { $tgt['groupId'] = $gid }
+                    foreach ($fld in @('deviceAndAppManagementAssignmentFilterId','deviceAndAppManagementAssignmentFilterType')) {
+                        $v = $t.$fld
+                        if ($null -ne $v -and [string]$v -ne '') { $tgt[$fld] = $v }
+                    }
+                    $assignments += @{ target = $tgt }
+                }
+            } catch {
+                $em = $_.Exception.Message
+                try { if ($_.ErrorDetails.Message) { $em = $_.ErrorDetails.Message } } catch {}
+                $results += @{ id = $id; policyName = $name; success = $false; error = "Bestehende Zuweisungen nicht lesbar (Hinzufuegen-Modus): $em" }
+                continue
+            }
+        }
+
         foreach ($g in $include) {
+            $key = "#microsoft.graph.groupAssignmentTarget|$g"
+            if ($seen[$key]) { continue }
+            $seen[$key] = $true
             $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.groupAssignmentTarget'; groupId = [string]$g } }
         }
         foreach ($g in $exclude) {
+            $key = "#microsoft.graph.exclusionGroupAssignmentTarget|$g"
+            if ($seen[$key]) { continue }
+            $seen[$key] = $true
             $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.exclusionGroupAssignmentTarget'; groupId = [string]$g } }
         }
+        if ($allDevices) {
+            $key = '#microsoft.graph.allDevicesAssignmentTarget|'
+            if (-not $seen[$key]) { $seen[$key] = $true; $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.allDevicesAssignmentTarget' } } }
+        }
+        if ($allUsers) {
+            $key = '#microsoft.graph.allLicensedUsersAssignmentTarget|'
+            if (-not $seen[$key]) { $seen[$key] = $true; $assignments += @{ target = @{ '@odata.type' = '#microsoft.graph.allLicensedUsersAssignmentTarget' } } }
+        }
         $json = @{ assignments = @($assignments) } | ConvertTo-Json -Depth 10
         $uri  = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$id/assign"
         try {
             Invoke-MgGraphRequestRetry -Uri $uri -Method POST -Body $json -ContentType 'application/json' | Out-Null
-            $results += @{ id = $id; policyName = $name; success = $true; includeCount = @($include).Count; excludeCount = @($exclude).Count }
+            $results += @{ id = $id; policyName = $name; success = $true; mode = $mode; includeCount = @($include).Count; excludeCount = @($exclude).Count }
         } catch {
             $m = $_.Exception.Message
             try { if ($_.ErrorDetails.Message) { $m = $_.ErrorDetails.Message } } catch {}

www/app.js

@@ -6409,6 +6409,12 @@ function polUpdateSelCount() {
   const n = keys.length;
   document.getElementById('polSelCount').textContent = n;
   document.getElementById('btnPolExport').disabled = n === 0;
+  const btnA = document.getElementById('btnPolAssignGroups');
+  if (btnA) {
+    btnA.disabled = n === 0;
+    const c = document.getElementById('polAssignSelCount');
+    if (c) c.textContent = n;
+  }
   // Konsolidieren nur bei >=2 Policies UND alle vom Typ Settings Catalog.
   const btnC = document.getElementById('btnPolConsolidate');
   if (btnC) {
@@ -6843,6 +6849,168 @@ document.getElementById('polAssignApply')?.addEventListener('click', async () =>
   }
 });
 
+// =============================================================
+// Bulk: mehreren ausgewählten Policies dieselben Gruppen zuweisen
+// =============================================================
+const POL_TYPE_TO_EXPORT = {
+  settingscatalog:        'SettingsCatalog',
+  compliance:             'CompliancePolicy',
+  configuration:          'ConfigurationProfile',
+  administrativetemplate: 'AdministrativeTemplate',
+};
+const PolBulkAssign = { policies: [], include: [], exclude: [] };
+let _polBulkSearchTimer = null;
+
+function openPolBulkAssign() {
+  const sel = PolState.items.filter(p => PolState.selected.has(polKey(p)));
+  if (!sel.length) return;
+  PolBulkAssign.policies = sel.map(p => ({
+    id: p.id,
+    name: p.name || '(ohne Name)',
+    exportType: POL_TYPE_TO_EXPORT[p.type] || '',
+  }));
+  PolBulkAssign.include = [];
+  PolBulkAssign.exclude = [];
+  document.getElementById('polBulkCount').textContent = sel.length;
+  document.getElementById('polBulkNames').innerHTML = PolBulkAssign.policies.map(p =>
+    `<span class="pol-bulk-name">${escapeHtml(p.name)} <span class="pol-type-badge">${escapeHtml(POL_TYPE_LABELS[p.exportType] || 'Policy')}</span></span>`
+  ).join('');
+  const addRadio = document.querySelector('input[name="polBulkMode"][value="add"]');
+  if (addRadio) addRadio.checked = true;
+  const ad = document.getElementById('polBulkAllDevices'); if (ad) ad.checked = false;
+  const au = document.getElementById('polBulkAllUsers');   if (au) au.checked = false;
+  renderPolBulkChips('include');
+  renderPolBulkChips('exclude');
+  updatePolBulkApply();
+  openModal('modalPolBulkAssign');
+}
+
+function renderPolBulkChips(kind) {
+  const box = document.querySelector(`.pol-assign-chips[data-scope="bulk"][data-kind="${kind}"]`);
+  if (!box) return;
+  box.innerHTML = PolBulkAssign[kind].map((g, j) => `
+    <span class="pol-assign-chip ${kind === 'exclude' ? 'exclude' : ''}">
+      ${escapeHtml(g.name)}
+      <button type="button" data-kind="${kind}" data-j="${j}" aria-label="Entfernen">×</button>
+    </span>`).join('');
+  updatePolBulkApply();
+}
+
+function updatePolBulkApply() {
+  const inc = PolBulkAssign.include.length, exc = PolBulkAssign.exclude.length;
+  const allDev = document.getElementById('polBulkAllDevices')?.checked || false;
+  const allUsr = document.getElementById('polBulkAllUsers')?.checked  || false;
+  const has = inc + exc > 0 || allDev || allUsr;
+  const btn = document.getElementById('polBulkApply');
+  if (btn) btn.disabled = !has;
+  const info = document.getElementById('polBulkInfo');
+  if (info) {
+    if (!has) { info.textContent = 'Mindestens eine Gruppe oder ein integriertes Ziel wählen.'; }
+    else {
+      const parts = [];
+      if (allDev) parts.push('Alle Geräte');
+      if (allUsr) parts.push('Alle Benutzer');
+      if (inc) parts.push(`${inc} Include`);
+      if (exc) parts.push(`${exc} Exclude`);
+      info.textContent = parts.join(' · ');
+    }
+  }
+}
+
+function polBulkHideDropdowns() {
+  document.querySelectorAll('.pol-bulk-dropdown').forEach(d => { d.classList.add('hidden'); d.innerHTML = ''; });
+}
+
+// Gruppensuche (debounced) im Bulk-Modal
+document.getElementById('modalPolBulkAssign')?.addEventListener('input', e => {
+  const input = e.target.closest('.pol-bulk-search');
+  if (!input) return;
+  const kind = input.dataset.kind;
+  const dd = document.querySelector(`.pol-bulk-dropdown[data-kind="${kind}"]`);
+  const q = input.value.trim();
+  clearTimeout(_polBulkSearchTimer);
+  if (q.length < 2) { if (dd) { dd.classList.add('hidden'); dd.innerHTML = ''; } return; }
+  if (dd) { dd.classList.remove('hidden'); dd.innerHTML = '<div class="msg">Suche…</div>'; }
+  _polBulkSearchTimer = setTimeout(async () => {
+    try {
+      const data = await api(`/api/groups/search?q=${encodeURIComponent(q)}`);
+      const items = (data.items || []).slice(0, 25);
+      if (!dd) return;
+      if (!items.length) { dd.innerHTML = '<div class="msg">Keine Gruppen gefunden.</div>'; return; }
+      dd.innerHTML = items.map(g => `
+        <div class="opt" data-id="${escapeHtml(g.Id)}" data-name="${escapeHtml(g.DisplayName)}">
+          <div>${escapeHtml(g.DisplayName)}</div>
+          ${g.Description ? `<div class="desc">${escapeHtml(g.Description)}</div>` : ''}
+        </div>`).join('');
+    } catch (err) {
+      if (dd) dd.innerHTML = `<div class="msg">Suche fehlgeschlagen: ${escapeHtml(err.message)}</div>`;
+    }
+  }, 300);
+});
+
+// Option wählen / Chip entfernen im Bulk-Modal
+document.getElementById('modalPolBulkAssign')?.addEventListener('click', e => {
+  const opt = e.target.closest('.pol-bulk-dropdown .opt');
+  if (opt) {
+    const dd = opt.closest('.pol-bulk-dropdown');
+    const kind = dd.dataset.kind;
+    const id = opt.dataset.id, name = opt.dataset.name;
+    const other = kind === 'include' ? 'exclude' : 'include';
+    if (!PolBulkAssign[kind].some(g => g.id === id) && !PolBulkAssign[other].some(g => g.id === id)) {
+      PolBulkAssign[kind].push({ id, name });
+      renderPolBulkChips(kind);
+    }
+    const input = document.querySelector(`.pol-bulk-search[data-kind="${kind}"]`);
+    if (input) input.value = '';
+    dd.classList.add('hidden'); dd.innerHTML = '';
+    return;
+  }
+  const rm = e.target.closest('.pol-assign-chip button');
+  if (rm) {
+    const kind = rm.dataset.kind, j = +rm.dataset.j;
+    PolBulkAssign[kind].splice(j, 1);
+    renderPolBulkChips(kind);
+  }
+});
+document.addEventListener('click', e => {
+  if (!e.target.closest('#modalPolBulkAssign .pol-assign-search-wrap')) polBulkHideDropdowns();
+});
+
+document.getElementById('polBulkAllDevices')?.addEventListener('change', updatePolBulkApply);
+document.getElementById('polBulkAllUsers')?.addEventListener('change', updatePolBulkApply);
+
+document.getElementById('polBulkApply')?.addEventListener('click', async () => {
+  const inc = PolBulkAssign.include.map(g => g.id);
+  const exc = PolBulkAssign.exclude.map(g => g.id);
+  const allDevices = document.getElementById('polBulkAllDevices')?.checked || false;
+  const allUsers   = document.getElementById('polBulkAllUsers')?.checked  || false;
+  if (!inc.length && !exc.length && !allDevices && !allUsers) return;
+  const mode = (document.querySelector('input[name="polBulkMode"]:checked')?.value) === 'replace' ? 'replace' : 'add';
+  const items = PolBulkAssign.policies.map(p => ({
+    exportType: p.exportType, id: p.id, policyName: p.name,
+    include: inc, exclude: exc, allDevices, allUsers, mode,
+  }));
+  setLoading('Weise Gruppen zu…');
+  try {
+    const res = await api('/api/policies/assign', { method: 'POST', body: { items }, timeoutMs: 180000 });
+    const results = res.results || [];
+    const fail = results.filter(r => !r.success);
+    if (fail.length) {
+      const first = fail[0];
+      toast(`${res.assignedCount || 0} zugewiesen, ${fail.length} fehlgeschlagen. z.B. "${first.policyName || '?'}": ${first.error || 'Fehler'}`, 'err', 'Zuweisung');
+    } else {
+      toast(`Gruppen ${mode === 'add' ? 'hinzugefügt' : 'ersetzt'}: ${res.assignedCount || 0} Policy(s).`, 'ok', 'Zuweisung');
+    }
+    closeModal('modalPolBulkAssign');
+  } catch (e) {
+    toast('Zuweisung fehlgeschlagen: ' + e.message, 'err');
+  } finally {
+    clearLoading();
+  }
+});
+
+document.getElementById('btnPolAssignGroups')?.addEventListener('click', openPolBulkAssign);
+
 // Alle Policies als Snapshot in den konfigurierten Git-Ordner schreiben + committen.
 async function polGitSnapshot() {
   setLoading('Erstelle Policy-Snapshot & committe…');
@@ -6909,7 +7077,9 @@ document.querySelectorAll('#polTable th.sortable').forEach(th => {
 // OFFBOARDING: Geräte aus Intune / Autopilot / Entra entfernen
 // =============================================================
 const OffState = { items: [], selected: new Set(), pending: [] };
-function offKey(d) { return d.intuneDeviceId; }
+// Eindeutiger Zeilen-Key: Intune-Geräte haben eine intuneDeviceId, reine
+// Autopilot-Geräte nicht -> auf Autopilot-/Entra-Id bzw. Seriennummer ausweichen.
+function offKey(d) { return d.intuneDeviceId || d.autopilotId || d.azureADDeviceId || d.entraObjectId || d.serialNumber || ''; }
 function offSelectedDevices() { return OffState.items.filter(d => OffState.selected.has(offKey(d))); }
 
 async function offSearch() {

www/index.html

@@ -619,6 +619,10 @@
       <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><line x1="12" y1="3" x2="12" y2="9"/><line x1="12" y1="15" x2="12" y2="21"/><circle cx="12" cy="3" r="1"/><circle cx="12" cy="21" r="1"/></svg>
       Git-Snapshot
     </button>
+    <button class="btn btn-secondary btn-sm pol-write" id="btnPolAssignGroups" disabled title="Ausgewählten Policies Gruppen zuweisen (Bulk)">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M17 21v-2a4 4 0 0 0-4-4H5a4 4 0 0 0-4 4v2"/><circle cx="9" cy="7" r="4"/><path d="M23 21v-2a4 4 0 0 0-3-3.87"/><path d="M16 3.13a4 4 0 0 1 0 7.75"/></svg>
+      Gruppen zuweisen (<span id="polAssignSelCount">0</span>)
+    </button>
     <button class="btn btn-secondary btn-sm pol-write" id="btnPolConsolidate" disabled title="Ausgewählte Settings-Catalog-Policies zu einer neuen Policy zusammenführen">
       <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M7 3v6a3 3 0 0 0 3 3h4a3 3 0 0 1 3 3v6"/><polyline points="3 7 7 3 11 7"/><polyline points="13 17 17 21 21 17"/></svg>
       Konsolidieren
@@ -984,6 +988,58 @@
   </div>
 </div>
 
+<!-- Bulk: mehreren ausgewählten Policies dieselben Gruppen zuweisen -->
+<div id="modalPolBulkAssign" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Gruppen zuweisen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="form-hint" style="margin-bottom:12px;">
+        Die gewählten Include-/Exclude-Gruppen werden auf <b><span id="polBulkCount">0</span></b> ausgewählte Policy(s) angewendet.
+      </div>
+      <div id="polBulkNames" class="pol-bulk-names"></div>
+      <div class="pol-assign-pickers" style="margin-top:12px;">
+        <div class="pol-assign-picker" data-kind="include">
+          <label class="lbl">Include-Gruppen</label>
+          <div class="pol-assign-chips" data-scope="bulk" data-kind="include"></div>
+          <div class="pol-assign-search-wrap">
+            <input type="text" class="input pol-bulk-search" data-kind="include" placeholder="Gruppe suchen…" autocomplete="off">
+            <div class="pol-assign-dropdown pol-bulk-dropdown hidden" data-kind="include"></div>
+          </div>
+        </div>
+        <div class="pol-assign-picker" data-kind="exclude">
+          <label class="lbl">Exclude-Gruppen</label>
+          <div class="pol-assign-chips" data-scope="bulk" data-kind="exclude"></div>
+          <div class="pol-assign-search-wrap">
+            <input type="text" class="input pol-bulk-search" data-kind="exclude" placeholder="Gruppe suchen…" autocomplete="off">
+            <div class="pol-assign-dropdown pol-bulk-dropdown hidden" data-kind="exclude"></div>
+          </div>
+        </div>
+      </div>
+      <div class="pol-bulk-builtin" style="margin-top:14px;">
+        <label class="lbl">Integrierte Ziele (Include)</label>
+        <label class="pol-bulk-check"><input type="checkbox" id="polBulkAllDevices"> Alle Geräte</label>
+        <label class="pol-bulk-check"><input type="checkbox" id="polBulkAllUsers"> Alle Benutzer</label>
+      </div>
+      <div class="pol-bulk-mode" style="margin-top:16px;">
+        <label class="lbl">Modus</label>
+        <label class="pol-bulk-radio"><input type="radio" name="polBulkMode" value="add" checked>
+          <span><b>Hinzufügen</b> — bestehende Zuweisungen bleiben erhalten, neue Gruppen kommen dazu.</span></label>
+        <label class="pol-bulk-radio"><input type="radio" name="polBulkMode" value="replace">
+          <span><b>Ersetzen</b> — alle bisherigen Zuweisungen der Policy werden durch die gewählten Gruppen ersetzt.</span></label>
+      </div>
+    </div>
+    <div class="modal-foot">
+      <span id="polBulkInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Abbrechen</button>
+      <button class="btn btn-primary" id="polBulkApply" disabled>Zuweisen</button>
+    </div>
+  </div>
+</div>
+
 <!-- MODAL: Geräte-Offboarding -->
 <div id="modalOffboard" class="modal hidden">
   <div class="modal-backdrop" data-close></div>

www/styles.css

@@ -5552,6 +5552,47 @@ body.read-only .app-row {
   font-size: 13px;
 }
 
+/* Gruppen-Zuweisungs-Picker (Post-Import & Bulk) */
+.pol-assign-pickers { display: flex; gap: 16px; flex-wrap: wrap; }
+.pol-assign-picker { flex: 1 1 240px; min-width: 220px; }
+.pol-assign-picker .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-assign-chips { display: flex; flex-wrap: wrap; gap: 6px; margin-bottom: 6px; }
+.pol-assign-chip {
+  display: inline-flex; align-items: center; gap: 4px;
+  padding: 2px 4px 2px 9px; border-radius: var(--r-pill, 999px);
+  font-size: 12px; background: rgba(96,165,250,.15); color: #60a5fa;
+}
+.pol-assign-chip.exclude { background: rgba(248,113,113,.15); color: #f87171; }
+.pol-assign-chip button {
+  border: 0; background: transparent; color: inherit; cursor: pointer;
+  font-size: 15px; line-height: 1; padding: 0 3px; border-radius: 50%;
+}
+.pol-assign-chip button:hover { background: rgba(0,0,0,.15); }
+.pol-assign-search-wrap { position: relative; }
+.pol-assign-dropdown {
+  position: absolute; z-index: 20; left: 0; right: 0; top: calc(100% + 2px);
+  max-height: 240px; overflow-y: auto;
+  background: var(--canvas, #1b1b1b); border: 1px solid var(--hairline, #333);
+  border-radius: 8px; box-shadow: 0 8px 24px rgba(0,0,0,.35);
+}
+.pol-assign-dropdown .opt { padding: 7px 10px; cursor: pointer; font-size: 13px; }
+.pol-assign-dropdown .opt:hover { background: var(--hover, rgba(255,255,255,.06)); }
+.pol-assign-dropdown .opt .desc { font-size: 11px; color: var(--text-dim, #888); margin-top: 1px; }
+.pol-assign-dropdown .msg { padding: 8px 10px; font-size: 12px; color: var(--text-dim, #888); }
+
+/* Bulk-Zuweisung: Policy-Liste + Modus */
+.pol-bulk-names { display: flex; flex-wrap: wrap; gap: 6px; max-height: 120px; overflow-y: auto; }
+.pol-bulk-name {
+  display: inline-flex; align-items: center; gap: 6px;
+  padding: 3px 9px; border-radius: 6px; font-size: 12.5px;
+  background: var(--bg3, var(--hover)); color: var(--ink, inherit);
+}
+.pol-bulk-mode .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-bulk-radio { display: flex; gap: 8px; align-items: flex-start; margin-bottom: 8px; font-size: 13px; cursor: pointer; }
+.pol-bulk-radio input { margin-top: 2px; }
+.pol-bulk-builtin .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-bulk-check { display: inline-flex; align-items: center; gap: 6px; margin-right: 18px; font-size: 13px; cursor: pointer; }
+
 /* =============================================================
    Multi-Tenant: Topbar-Umschalter + Profil-Editor
    ============================================================= */