Intune Fehler 0x80004005: Geräte-Enrollment beheben

Kurz gesagt: Der Intune-Fehler 0x80004005 ist ein allgemeiner „unbekannter Fehler“ (intern E_FAIL), der beim Geräte-Enrollment, beim App-Rollout oder beim Autopilot-Hybrid-Join auftaucht. In den meisten Fällen ist die Vertrauensstellung des Geräts zum Intune-Backend verloren und lässt sich nicht automatisch reparieren. Die zuverlässigste Lösung: Gerät aus Intune lösen, alte Enrollment-Zertifikate entfernen und sauber neu registrieren. Beim Hybrid-Join genügt oft schon ein zweiter Versuch.

Wann tritt 0x80004005 auf?

Der Code ist kein eigenständiger Intune-Fehler, sondern der Windows-Sammelcode E_FAIL – „etwas ist schiefgegangen, ohne genaue Angabe“. Im Intune-Umfeld siehst du ihn typischerweise in drei Situationen:

• Geräte-Enrollment: Ein Windows-Client soll in Intune aufgenommen werden, der Vorgang bricht aber mit 0x80004005 ab. Hier steckt meist eine kaputte oder doppelte Vertrauensstellung dahinter.
• App-Installation: Eine über Intune zugewiesene Win32- oder Store-App schlägt fehl. Häufig fehlt dem Zielkonto die Berechtigung oder das Gerät ist gar nicht korrekt registriert.
• Autopilot-Hybrid-Join: Während der Geräteeinrichtung (OOBE) im Microsoft-Entra-Hybrid-Join-Szenario läuft der Vorgang in einen Timeout mit 0x80004005 – ein bekanntes Token-Problem (siehe weiter unten).

Bevor du tief gräbst: Prüfe, ob das Gerät überhaupt sauber bei Microsoft Entra registriert ist. Ein offenes Terminal mit dem Befehl dsregcmd /status zeigt unter AzureAdJoined und MDMUrl, ob Join und Enrollment-Zuordnung stimmen. Steht dort etwas auf NO, das eigentlich YES sein müsste, hast du die Ursache meist schon eingegrenzt.

Schnelle Lösung: Gerät sauber neu registrieren

In der Microsoft-Dokumentation ist die häufigste Ursache für 0x80004005 eine verlorene Vertrauensstellung zum Intune-Backend, die sich nur durch ein erneutes Enrollment beheben lässt. Reste alter Registrierungen – vor allem veraltete Zertifikate – müssen dabei weg.

1. Arbeitskonto trennen: Öffne Einstellungen > Konten > Auf Arbeits- oder Schulkonto zugreifen, wähle den vorhandenen Intune-/Entra-Eintrag aus und klicke auf Trennen. Danach das Gerät neu starten.
2. Status prüfen: Nach dem Neustart in einer Eingabeaufforderung dsregcmd /status ausführen. Hängt das Gerät noch fälschlich an einem alten Tenant, lösen Geräte im Microsoft-Entra-Join mit dsregcmd /leave diese Bindung.
3. Alte Zertifikate entfernen: MMC öffnen, das Snap-In Zertifikate für das Computerkonto hinzufügen und unter Eigene Zertifikate > Zertifikate nach einem von „Sc_Online_Issuing“ bzw. „Microsoft Intune MDM Device CA“ ausgestellten Zertifikat suchen. Ein vorhandenes Alt-Zertifikat löschen – mehrere Geräte schleppen genau hier das falsche mit.
4. Registry-Reste (nur mit Backup!): Sichere zuerst die Registry. Existiert nach dem alten Intune-PC-Client noch der Schlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OnlineManagement samt Unterschlüsseln, lösche ihn. Moderne MDM-Registrierungen liegen unter HKLM\SOFTWARE\Microsoft\Enrollments – hier nichts blind löschen, sondern nur, wenn du den verwaisten Enrollment-Eintrag eindeutig zuordnen kannst.
5. Neu registrieren: Über Einstellungen > Konten > Auf Arbeits- oder Schulkonto zugreifen > Verbinden das Gerät erneut anmelden. Bei automatischer Einschreibung per Gruppenrichtlinie startest du die Aufgabe im Taskplaner unter Microsoft > Windows > EnterpriseMgmt manuell neu.

Ein Klassiker am Rande: Liegt das Image als Klon einer bereits eingeschriebenen Maschine vor, bringt es das fremde Enrollment-Zertifikat mit. Genau dieser Fall verursacht reihenweise unerklärliche Fehler – frische, nicht generalisierte Images (per sysprep /generalize) sparen viel Sucherei.

Wenn das nicht hilft: weitere Ursachen

Bleibt der Fehler nach dem Neu-Enrollment, lohnt der Blick auf das Szenario. Diese Ursachen tauchen in der Praxis am häufigsten zusätzlich auf:

• Autopilot-Hybrid-Join mit fehlerhaftem Token: Im benutzergesteuerten Hybrid-Join kann Entra eine fehlerhafte Antwort liefern – das ID-Token kommt in HTML verpackt statt als sauberes JWT an, der Web-Teil der Einrichtung stürzt ab und endet in 0x80004005. Der schnellste Workaround ist hier tatsächlich „Erneut versuchen“, weil der zweite Anlauf oft ein sauberes Token erhält. Wer es ganz umgehen will, nutzt die Pre-Provisioning-Variante (Whiteglove), die diesen Token-Übergang nicht braucht.
• Fehlende Intune-Lizenz: Ohne gültige Intune- oder Microsoft-365-Lizenz darf das Konto kein Gerät einschreiben. Im Microsoft 365 Admin Center prüfen und zuweisen.
• MDM-User-Scope steht auf „None“: Unter Microsoft Entra ID > Mobilität (MDM und MAM) > Microsoft Intune muss der MDM-Benutzerbereich auf Alle (oder die passende Gruppe) stehen, sonst greift die automatische Einschreibung nie.
• Enrollment-Einschränkungen: Ist unter Geräte > Einschränkungen bei der Registrierung die Plattform Windows (MDM) auf Blockieren gesetzt, scheitert jede Aufnahme.
• Firewall oder Proxy: Werden die Intune- und Entra-Endpunkte oder der Identitätsanbieter blockiert, bricht die Vertrauensbildung ab. Die von Microsoft veröffentlichten Autopilot-Netzwerkanforderungen müssen erreichbar sein.

Diagnose: die richtigen Logs öffnen

0x80004005 sagt für sich genommen nichts aus – die echte Fehlerursache steht in den Detail-Logs. Diese drei Quellen bringen dich am schnellsten weiter:

• Event Viewer: Anwendungs- und Dienstprotokolle > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin. Hier protokolliert Windows jede MDM-Einschreibung mit konkretem Win32-Fehlercode (z. B. Ereignis-ID 76 bei automatischer Einschreibung).
• Taskplaner: Unter Microsoft > Windows > EnterpriseMgmt zeigt die Aufgabe „Schedule created by enrollment client…“ im letzten Ausführungsergebnis, ob und woran die automatische Einschreibung scheitert.
• Während der Autopilot-Einrichtung: Mit der Tastenkombination Shift + F10 öffnest du in der OOBE eine Eingabeaufforderung mit hohen Rechten – ideal, um direkt dsregcmd /status aufzurufen oder Ereignisprotokolle zu sichten.

Wer für die IHK-Prüfung lernt, sollte sich diesen Reflex einprägen: Bei einem generischen Code zuerst das passende Detail-Log öffnen, statt am Symptom zu raten. Genau diese Trennung von Sammelcode und konkreter Log-Meldung ist in der Fachinformatiker-Praxis Gold wert.

Hintergrund: Warum gerade 0x80004005?

Der Wert 0x80004005 ist der COM-Fehlercode E_FAIL. Das ist bewusst unspezifisch und bedeutet schlicht „nicht näher bezeichneter Fehler“. Windows und Intune greifen darauf zurück, wenn ein Vorgang scheitert, ohne dass eine spezifischere Fehlernummer vorgesehen ist. Deshalb begegnet dir derselbe Code in völlig unterschiedlichen Lagen – von der Geräteeinschreibung über Zertifikatsprobleme bis zum kaputten Token im Hybrid-Join. Praktisch heißt das: Der Code ist ein Startpunkt, keine Diagnose. Erst Kontext (Enrollment? App? Autopilot?) plus Detail-Log machen daraus eine klare Ursache.

Quellen

Microsoft Learn: Troubleshooting Windows device enrollment problems in Intune · Patch My PC: Autopilot Hybrid Join and the 80004005 Error

Häufige Fragen

Was bedeutet der Intune-Fehler 0x80004005?

0x80004005 ist der allgemeine Windows-Code E_FAIL – ein unspezifischer Fehler. Im Intune-Kontext steht meist eine verlorene Vertrauensstellung zum Intune-Backend dahinter. Erst das Detail-Log nennt die genaue Ursache.

Wie behebe ich 0x80004005 beim Geräte-Enrollment?

Trenne das Arbeitskonto unter Einstellungen, prüfe den Status mit dsregcmd /status, entferne alte Intune-Zertifikate im Computerkonto und registriere das Gerät anschließend sauber neu.

Warum erscheint 0x80004005 beim Autopilot-Hybrid-Join?

Beim benutzergesteuerten Hybrid-Join kann Entra ein fehlerhaft verpacktes ID-Token liefern, das die Einrichtung nicht parsen kann. Ein zweiter Anlauf über die Schaltfläche zum erneuten Versuchen oder die Pre-Provisioning-Variante löst das meist.

Wo finde ich die genaue Fehlerursache?

Im Event Viewer unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin sowie im Taskplaner unter Microsoft > Windows > EnterpriseMgmt.

Kann eine fehlende Lizenz 0x80004005 auslösen?

Ja. Ohne gültige Intune- oder Microsoft-365-Lizenz darf das Konto kein Gerät einschreiben. Auch ein auf None gesetzter MDM-User-Scope verhindert die automatische Einschreibung.