> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/de/automatisierung/runbooks/runbook-references/device/general/wipe-device.md).

# Gerät löschen

Löschen Sie dieses Windows- oder macOS-Gerät und bereinigen Sie seine Datensätze

### Beschreibung

Löscht dieses Windows- oder macOS-Gerät. Optional werden auch die verbliebenen Reste bereinigt: der Intune-Datensatz, die Autopilot-Registrierung und das Entra ID-Objekt können gelöscht oder deaktiviert werden. Für Windows können Sie eine geschützte Löschung und eine längere Compliance-Nachfrist nach der erneuten Registrierung wählen, für macOS einen Wiederherstellungscode und festlegen, wie das Betriebssystem gelöscht wird. Eine Löschung entfernt alle Daten auf dem Gerät und kann nicht rückgängig gemacht werden. Die Löschung kann übersprungen werden, wenn Defender for Endpoint das Gerät als mittel- oder hochriskant einstuft.

### Nur löschen, wenn das Gerät nicht gefährdet ist

Wenn *Nur löschen, wenn das Gerät nicht gefährdet ist* (`skipWipeIfAtRisk`) aktiviert ist, prüft das Runbook den Risikoscore des Geräts in Microsoft Defender for Endpoint, bevor irgendein Geräteobjekt berührt wird. Die Abfrage verwendet die Entra-Geräte-ID und ist dieselbe Abfrage, die der **Defender-Status prüfen** Runbook ausführt. Die Prüfung ist standardmäßig deaktiviert und wird nur ausgeführt, wenn eine Löschung angefordert wird; sie wird übersprungen, wenn *Gerät nicht löschen* ausgewählt ist.

Mögliche Ergebnisse:

* **Kein erhöhtes Risiko** (Risikoscore `Keine`, `Informativ` oder `Niedrig`): die Löschung und die ausgewählten Bereinigungsaktionen werden wie gewohnt ausgeführt.
* **Risikoscore `Mittel` oder `Hoch`**: das Runbook stoppt mit einer Warnung vor der Löschung, der Mitgliedschaft in der Ausschlussgruppe, den Entra-Änderungen und den Intune-/Autopilot-Löschungen. Ein Gerät mit erhöhtem Risikoscore kann in einen Sicherheitsvorfall verwickelt sein, und das Löschen könnte forensische Daten (z. B. Protokolle) zerstören. Stimmen Sie sich zuerst mit Ihrem Sicherheitsteam ab; um das Gerät dennoch zu löschen, führen Sie das Runbook mit deaktivierter Option aus.
* **Gerät wurde in Microsoft Defender for Endpoint nicht gefunden**: der Risikoscore kann nicht ermittelt werden. Das Runbook vermerkt dies und fährt mit der Löschung fort, sodass Geräte, die nicht in Defender eingebunden sind, nicht blockiert werden.
* **Defender-Abfrage schlägt fehl**: das Runbook stoppt ohne Löschung, sodass ein vorübergehendes API-Problem den Schutz nie umgeht.

#### Die Prüfung standardmäßig aktivieren

Um die Prüfung für jede Löschung zu erzwingen, setzen Sie den Parameter vorab und blenden Sie ihn aus, sodass er im Portal nicht deaktiviert werden kann.

Die JSON-Konfiguration dafür lautet wie folgt:

```json
"rjgit-device_general_wipe-device": {
    "parameters": {
        "skipWipeIfAtRisk": {
            "Default": true,
            "Hide": true
        }
    }
}
```

### Gerät zu einer Compliance-Ausschlussgruppe hinzufügen

Wenn *Gerät zur Compliance-Ausschlussgruppe hinzufügen* (`addToExclusionGroup`) aktiviert ist, wird das gelöschte Windows-Gerät zu einer Compliance-Ausschlussgruppe hinzugefügt. Geräte in dieser Gruppe erhalten nach der erneuten Registrierung über Autopilot eine längere Compliance-Nachfrist (dies entspricht dem **Ausschluss für Geräte-Onboarding prüfen** Runbook).

Standardmäßig wird die Gruppe über ihren **Anzeigenamen** (`exclusionGroupName`) identifiziert. Da Anzeigenamen nicht eindeutig sein müssen, können Sie die Gruppe stattdessen über ihre **Objekt-ID** (`exclusionGroupId`festlegen. Wenn eine Objekt-ID angegeben wird, **überschreibt sie immer** den Anzeigenamen, sodass Namenskonflikte niemals dazu führen können, dass die falsche Gruppe verwendet wird. `exclusionGroupId` ist standardmäßig ausgeblendet und dafür vorgesehen, über die Runbook-Anpassung gesetzt zu werden.

Die Gruppe wird in einem vorgelagerten Vorab-Check aufgelöst und validiert. Wenn die konfigurierte Gruppe nicht existiert, bricht das Runbook ab **bevor** irgendeine Lösch-/Entfernungs-/Deaktivierungsaktion ausgeführt wird, sodass kein halb angewendeter Zustand zurückbleibt. Das Hinzufügen zur Gruppe wird für Nicht-Windows-Geräte und wenn das Gerät aus EntraID gelöscht wird (`removeAADDevice`).

#### Gruppe per Objekt-ID festlegen (empfohlen)

Setzen Sie vorab die Objekt-ID der Gruppe und aktivieren Sie den Schalter, wobei die Felder ausgeblendet bleiben. So werden Mehrdeutigkeiten durch doppelte Anzeigenamen vermieden.

Die JSON-Konfiguration dafür lautet wie folgt:

```json
"rjgit-device_general_wipe-device": {
    "parameters": {
        "addToExclusionGroup": {
            "Default": true
        },
        "exclusionGroupId": {
            "Default": "00000000-0000-0000-0000-000000000000",
            "Hide": true
        },
        "exclusionGroupName": {
            "Hide": true
        }
    }
}
```

Ersetzen Sie `00000000-0000-0000-0000-000000000000` durch die Objekt-ID Ihrer Gruppe (EntraID > Groups > *Ihre Gruppe* > **Objekt-ID**).

#### Gruppe per Anzeigename festlegen

Wenn Sie lieber mit dem Anzeigenamen arbeiten (und er in Ihrem Mandant eindeutig ist), setzen Sie vorab `exclusionGroupName` und lassen Sie `exclusionGroupId` leer, damit der Name verwendet wird.

Die JSON-Konfiguration dafür lautet wie folgt:

```json
"rjgit-device_general_wipe-device": {
    "parameters": {
        "addToExclusionGroup": {
            "Default": true
        },
        "exclusionGroupName": {
            "Default": "cfg - Intune - Windows - Compliance für nicht registrierte Autopilot-Geräte (Geräte)",
            "Hide": true
        }
    }
}
```

### macOS-Löschoptionen

macOS-Geräte werden über Intunes Löschaktion gelöscht. Nur zwei Optionen gelten dafür:

* **Wiederherstellungscode (macOS)** (`macOsRecoveryCode`): Ältere Macs benötigen einen sechsstelligen Wiederherstellungscode, um die Löschung zu akzeptieren; neuere Geräte ignorieren ihn. Der Parameter ist im Portal ausgeblendet und kann über die Runbook-Anpassung vorab gesetzt werden.
* **Verhalten beim vollständigen Löschen (macOS)** (`macOsObliterationBehavior`): legt fest, was passiert, wenn *Alle Inhalte und Einstellungen löschen* (EACS) nicht möglich ist. `Standard` löscht die Benutzerdaten und weicht dann auf das Löschen des gesamten Betriebssystems aus, `doNotObliterate` löscht das Betriebssystem nie, `obliterateWithWarning` warnt und löscht dann das Betriebssystem, `Immer` löscht das Betriebssystem in jedem Fall.

Nur-Windows-Optionen (*geschützte Löschung*, *Autopilot-Datenbank*, *Compliance-Ausschlussgruppe*) werden bei macOS-Geräten ignoriert.

### Speicherort

Gerät → Allgemein → Gerät löschen

**Voller Runbook-Name**

rjgit-device\_general\_wipe-device

### Details

| Eigenschaft          | Wert                                |
| -------------------- | ----------------------------------- |
| Version              | 1.1.0                               |
| Erforderliche Module | RealmJoin.RunbookHelper (>= 0.8.10) |
| Planbar              | nein                                |

### Berechtigungen

#### Anwendungsberechtigungen

* **Typ**: Microsoft Graph
  * DeviceManagementManagedDevices.PrivilegedOperations.All
    * *Löst die Intune-Löschaktion aus, wenn wipeDevice ausgewählt ist*
  * DeviceManagementManagedDevices.ReadWrite.All
    * *Findet das Intune-Gerät über azureADDeviceId und löscht es, wenn removeIntuneDevice gesetzt ist*
  * DeviceManagementServiceConfig.ReadWrite.All
    * *Findet die Autopilot-Identität und löscht sie, wenn removeAutopilotDevice gesetzt ist*
  * Device.Read.All
    * *Löst das Entra-Gerät auf und liest seine registrierten Besitzer für den Bericht aus*
  * GroupMember.ReadWrite.All
    * *Fügt das Gerät der Ausschlussgruppe hinzu, wenn addToExclusionGroup aktiviert ist*
* **Typ**: WindowsDefenderATP
  * Machine.Read.All *(optional — Funktion: Defender-Risikoprüfung)*
    * *Liest im skipWipeIfAtRisk-Vorabcheck den Defender-Risikoscore des Geräts aus*

#### RBAC-Rollen

* Cloud-Geräteadministrator
  * *Erforderlich, um das Entra-Geräteobjekt über /devices/{id} zu deaktivieren und zu löschen*

### Parameter

#### DeviceId

Entra ID-Geräte-ID des Geräts, auf das das Runbook angewendet wird. Wird vom Portal anhand des ausgewählten Geräts festgelegt.

| Eigenschaft            | Wert                                            |
| ---------------------- | ----------------------------------------------- |
| Erforderlich           | wahr                                            |
| Standardwert           |                                                 |
| Typ                    | Zeichenfolge                                    |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |

#### wipeDevice

Bei vollständigem Löschen werden alle Benutzer- und Registrierungsdaten auf dem Gerät gelöscht. „Nicht löschen“ lässt das Gerät unverändert und führt nur die ausgewählten Bereinigungsschritte aus.

| Eigenschaft           | Wert                  |
| --------------------- | --------------------- |
| Erforderlich          | falsch                |
| Standardwert          | Wahr                  |
| Typ                   | Boolesch              |
| Anzeigename im Portal | Dieses Gerät löschen? |

**Portaloptionen**

| Portaloption                                                                                     | Wert   |
| ------------------------------------------------------------------------------------------------ | ------ |
| Gerät vollständig löschen (Windows: Benutzer- oder Registrierungsdaten werden nicht beibehalten) | wahr   |
| Gerät nicht löschen                                                                              | falsch |

#### useProtectedWipe

Versucht die Löschung weiterhin, selbst wenn das Gerät zwischendurch ausgeschaltet wird, sodass die Löschung nicht durch Ausschalten umgangen werden kann. Nur Windows.

| Eigenschaft           | Wert                                     |
| --------------------- | ---------------------------------------- |
| Erforderlich          | falsch                                   |
| Standardwert          | Falsch                                   |
| Typ                   | Boolesch                                 |
| Anzeigename im Portal | Geschützte Löschung verwenden (Windows)? |

#### removeIntuneDevice

Löscht den Gerätedatensatz in Intune. Nur sinnvoll, wenn das Gerät bereits gelöscht oder zerstört wurde.

| Eigenschaft           | Wert                      |
| --------------------- | ------------------------- |
| Erforderlich          | falsch                    |
| Standardwert          | Falsch                    |
| Typ                   | Boolesch                  |
| Anzeigename im Portal | Gerät aus Intune löschen? |

**Portaloptionen**

| Portaloption                                                                       | Wert   |
| ---------------------------------------------------------------------------------- | ------ |
| Gerät aus Intune löschen (nur wenn das Gerät bereits gelöscht oder zerstört wurde) | wahr   |
| Intune-Datensatz beibehalten                                                       | falsch |

#### removeAutopilotDevice

Das Entfernen des Geräts aus der Autopilot-Datenbank ermöglicht, dass es den Mandanten verlassen und anderswo registriert werden kann. Wenn es beibehalten wird, ist eine spätere erneute Bereitstellung in diesem Mandanten möglich. Nur Windows.

| Eigenschaft           | Wert                                           |
| --------------------- | ---------------------------------------------- |
| Erforderlich          | falsch                                         |
| Standardwert          | Falsch                                         |
| Typ                   | Boolesch                                       |
| Anzeigename im Portal | Aus der Autopilot-Datenbank löschen (Windows)? |

**Portaloptionen**

| Portaloption                                                     | Wert   |
| ---------------------------------------------------------------- | ------ |
| Aus Autopilot entfernen (das Gerät kann den Mandanten verlassen) | wahr   |
| Gerät in Autopilot behalten                                      | falsch |

#### removeAADDevice

Ob das Entra ID-Geräteobjekt nach der Löschung gelöscht wird. Vorab in der Runbook-Anpassung festlegbar.

| Eigenschaft            | Wert                                            |
| ---------------------- | ----------------------------------------------- |
| Erforderlich           | falsch                                          |
| Standardwert           | Falsch                                          |
| Typ                    | Boolesch                                        |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |

#### disableAADDevice

Durch Deaktivieren werden Anmeldungen von diesem Gerät blockiert, das Objekt bleibt jedoch in Entra ID erhalten. Bei Beibehalten bleibt das Entra ID-Objekt unverändert.

| Eigenschaft           | Wert                                |
| --------------------- | ----------------------------------- |
| Erforderlich          | falsch                              |
| Standardwert          | Falsch                              |
| Typ                   | Boolesch                            |
| Anzeigename im Portal | Entra ID-Geräteobjekt deaktivieren? |

**Portaloptionen**

| Portaloption                           | Wert   |
| -------------------------------------- | ------ |
| Gerät in Entra ID deaktivieren         | wahr   |
| Entra ID-Gerät unverändert beibehalten | falsch |

#### skipWipeIfAtRisk

Überspringt die Löschung, wenn Microsoft Defender for Endpoint das Gerät als mittel- oder hochriskant einstuft. So bleiben Beweise auf einem Gerät erhalten, das Teil eines Sicherheitsvorfalls sein könnte.

| Eigenschaft           | Wert                                             |
| --------------------- | ------------------------------------------------ |
| Erforderlich          | falsch                                           |
| Standardwert          | Falsch                                           |
| Typ                   | Boolesch                                         |
| Anzeigename im Portal | Nur löschen, wenn das Gerät nicht gefährdet ist? |

**Portaloptionen**

| Portaloption                                                          | Wert   |
| --------------------------------------------------------------------- | ------ |
| Nur löschen, wenn der Defender-Risikoscore nicht mittel oder hoch ist | wahr   |
| Unabhängig vom Defender-Risikoscore löschen                           | falsch |

#### addToExclusionGroup

Fügt das Gerät der Compliance-Ausschlussgruppe hinzu, damit es bei einer erneuten Registrierung über Autopilot eine längere Compliance-Nachfrist erhält. Nur Windows.

| Eigenschaft           | Wert                                                  |
| --------------------- | ----------------------------------------------------- |
| Erforderlich          | falsch                                                |
| Standardwert          | Falsch                                                |
| Typ                   | Boolesch                                              |
| Anzeigename im Portal | Zur Compliance-Ausschlussgruppe hinzufügen (Windows)? |

**Portaloptionen**

| Portaloption                                     | Wert   |
| ------------------------------------------------ | ------ |
| Gerät zur Compliance-Ausschlussgruppe hinzufügen | wahr   |
| Nicht zur Ausschlussgruppe hinzufügen            | falsch |

#### exclusionGroupName

Anzeigename der Ausschlussgruppe, der das Gerät hinzugefügt wird. Eine in der Runbook-Anpassung vorab gesetzte Objekt-ID hat Vorrang.

| Eigenschaft           | Wert                                                                                 |
| --------------------- | ------------------------------------------------------------------------------------ |
| Erforderlich          | falsch                                                                               |
| Standardwert          | cfg - Intune - Windows - Compliance für nicht registrierte Autopilot-Geräte (Geräte) |
| Typ                   | Zeichenfolge                                                                         |
| Anzeigename im Portal | Name der Compliance-Ausschlussgruppe                                                 |

#### exclusionGroupId

Objekt-ID der Ausschlussgruppe. Vorab in der Runbook-Anpassung festgelegt und anstelle des Gruppennamens verwendet, um Namenskonflikte zu vermeiden.

| Eigenschaft            | Wert                                            |
| ---------------------- | ----------------------------------------------- |
| Erforderlich           | falsch                                          |
| Standardwert           |                                                 |
| Typ                    | Zeichenfolge                                    |
| Anzeigename im Portal  | Objekt-ID der Compliance-Ausschlussgruppe       |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |

#### macOsRecoveryCode

Wiederherstellungscode für ältere Macs, der zum Löschen benötigt wird. Neuere Geräte ignorieren ihn. Vorab in der Runbook-Anpassung festlegbar.

| Eigenschaft            | Wert                                            |
| ---------------------- | ----------------------------------------------- |
| Erforderlich           | falsch                                          |
| Standardwert           | 123456                                          |
| Typ                    | Zeichenfolge                                    |
| Anzeigename im Portal  | Wiederherstellungscode (macOS)                  |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |

#### macOsObliterationBehavior

Wie ein Mac gelöscht wird: zuerst Benutzerdaten löschen und dann auf das Löschen des Betriebssystems zurückfallen, das Betriebssystem nie löschen, vor dem Löschen des Betriebssystems warnen oder das Betriebssystem immer löschen.

| Eigenschaft           | Wert                                         |
| --------------------- | -------------------------------------------- |
| Erforderlich          | falsch                                       |
| Standardwert          | Standard                                     |
| Typ                   | Zeichenfolge                                 |
| Anzeigename im Portal | Verhalten beim vollständigen Löschen (macOS) |

**Portaloptionen**

| Portaloption                                                                    | Wert                  |
| ------------------------------------------------------------------------------- | --------------------- |
| Benutzerdaten löschen (EACS), Betriebssystem löschen, wenn das fehlschlägt      | Standard              |
| Benutzerdaten löschen (EACS), das Betriebssystem nie löschen                    | doNotObliterate       |
| Benutzerdaten löschen (EACS), andernfalls warnen und das Betriebssystem löschen | obliterateWithWarning |
| Das Betriebssystem immer löschen                                                | Immer                 |

[Zurück zur Übersicht der Runbook-Referenz](/de/automatisierung/runbooks/runbook-references.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.realmjoin.com/de/automatisierung/runbooks/runbook-references/device/general/wipe-device.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.