{ "format": 1, "name": "PC Neuinstallation", "seedSchluessel": "pc-neuinstallation", "beschreibung": "Vollständige Neuinstallation eines Arbeitsplatzrechners: von der Datensicherung des alten Systems über Installation, Einbindung und Verschlüsselung bis zur Übergabe an den Benutzer.", "kategorie": "Client", "schlagworte": ["windows", "client", "neuinstallation", "bitlocker"], "struktur": { "variablen": [ { "schluessel": "os_version", "beschriftung": "Windows-Version", "typ": "AUSWAHL", "optionen": ["Windows 11 Pro", "Windows 11 Enterprise"], "pflicht": true }, { "schluessel": "join_typ", "beschriftung": "Art der Einbindung", "typ": "AUSWAHL", "optionen": ["Active Directory", "Entra ID", "Hybrid", "Workgroup"], "pflicht": true } ], "abschnitte": [ { "titel": "Vorbereitung", "schritte": [ { "titel": "Ticket und Endbenutzer im Lauf erfasst", "hilfetext": "Ohne Ticketnummer und zugeordnete Person lässt sich später keine Rückfrage zuordnen. Beides gehört in die Kopfdaten des Laufs, nicht in einen Kommentar.", "pflicht": true }, { "titel": "Datensicherung des alten Systems geprüft (Profil, Desktop, Dokumente, lokale PST, Browser-Favoriten)", "hilfetext": "Auch nach lokal gespeicherten Daten außerhalb des Profils fragen, z. B. `C:\\Daten`.", "pflicht": true }, { "titel": "Sondersoftware und Lizenzen des Benutzers notiert", "hilfetext": "Vor dem Löschen erfassen, welche Programme und Lizenzschlüssel auf dem alten System liegen — hinterher ist die Information weg. Dongles und an die Hardware gebundene Aktivierungen mit aufführen.", "typ": "TEXT", "pflicht": true, "konfig": { "mehrzeilig": true } }, { "titel": "BIOS/UEFI auf aktuellen Stand gebracht", "hilfetext": "Firmware vor der Installation aktualisieren, nicht danach: ein Update setzt Secure-Boot- und TPM-Einstellungen gelegentlich zurück." }, { "titel": "Secure Boot und TPM 2.0 aktiv", "hilfetext": "In der Firmware prüfen, nicht nur in Windows. Ohne TPM 2.0 lässt sich BitLocker später nur mit Startschlüssel auf einem USB-Stick betreiben.", "pflicht": true } ] }, { "titel": "Installation", "schritte": [ { "titel": "{{os_version}} installiert", "hilfetext": "Edition und Sprache müssen zur Lizenz passen. Saubere Installation auf gelöschter Systempartition, keine Aktualisierung des alten Stands.", "pflicht": true }, { "titel": "Hostname gesetzt", "hilfetext": "Der Name muss dem Namensschema folgen; der Befehl startet den Rechner neu. Danach prüfen, ob der Name auch im DNS angekommen ist.", "typ": "BEFEHL", "pflicht": true, "konfig": { "shell": "powershell", "befehl": "Rename-Computer -NewName \"{{hostname}}\" -Restart" } }, { "titel": "Treiber vollständig, keine unbekannten Geräte im Geräte-Manager", "hilfetext": "Im Geräte-Manager auch „Ausgeblendete Geräte anzeigen“ einschalten. Kein gelbes Ausrufezeichen, kein unbekanntes Gerät — fehlt etwas, ist es meist der Chipsatz-Treiber.", "pflicht": true }, { "titel": "Windows Updates vollständig eingespielt", "hilfetext": "Mehrfach nach Updates suchen, bis nichts mehr kommt: Kumulativ- und Treiber-Updates erscheinen oft erst nach einem Neustart.", "pflicht": true }, { "titel": "Installierte Version dokumentieren", "hilfetext": "Die Ausgabe in den nächsten Schritt übertragen. Supportfälle beziehen sich auf die Build-Nummer, nicht auf „Windows 11“.", "typ": "BEFEHL", "pflicht": true, "konfig": { "shell": "powershell", "befehl": "Get-ComputerInfo | Select-Object OsName, OsVersion, OsBuildNumber" } }, { "titel": "Build-Nummer", "hilfetext": "Die Build aus der Ausgabe des vorigen Schritts, etwa 26100. Ohne sie ist später nicht nachvollziehbar, auf welchem Stand das Gerät ausgeliefert wurde.", "typ": "TEXT", "pflicht": true } ] }, { "titel": "Einbindung", "schritte": [ { "titel": "Einbindung durchgeführt: {{join_typ}}", "hilfetext": "Die Art der Einbindung entscheidet über Anmeldung und Richtlinien. Ein Gerät gehört in genau eine Domäne bzw. einen Tenant — nicht zusätzlich woanders anmelden.", "pflicht": true }, { "titel": "Entra-Status prüfen", "hilfetext": "Unter „Device State“ muss `AzureAdJoined` bzw. `DomainJoined` auf YES stehen; unter „SSO State“ zeigt sich, ob ein gültiges Token vorliegt.", "typ": "BEFEHL", "konfig": { "shell": "cmd", "befehl": "dsregcmd /status" } }, { "titel": "Gruppenrichtlinien prüfen", "hilfetext": "Zeigt die angewendeten Richtlinien und die Gruppenzugehörigkeit des Rechners. Fehlt eine erwartete Richtlinie, stimmt meist die OU nicht.", "typ": "BEFEHL", "konfig": { "shell": "cmd", "befehl": "gpresult /r" } }, { "titel": "Gerät in richtiger OU bzw. Gerätegruppe", "hilfetext": "Die OU bestimmt, welche Richtlinien greifen. Nach dem Verschieben `gpupdate /force` und einen Neustart, sonst gilt weiter der alte Stand.", "pflicht": true } ] }, { "titel": "Software", "schritte": [ { "titel": "RMM-Agent installiert und meldet sich", "hilfetext": "Nicht nur installieren, sondern in der Konsole nachsehen, ob das Gerät online erscheint und der richtigen Gruppe zugeordnet ist.", "pflicht": true }, { "titel": "Virenschutz/EDR installiert und aktiv", "hilfetext": "Echtzeitschutz aktiv, Signaturen aktuell, Gerät im Portal sichtbar. Zwei Scanner parallel behindern sich gegenseitig — der ersetzte muss weg.", "pflicht": true }, { "titel": "Office installiert und aktiviert", "hilfetext": "Eine Anwendung öffnen und unter „Konto“ prüfen, dass die richtige Lizenz und das richtige Konto hinterlegt sind.", "pflicht": true }, { "titel": "Standardsoftware laut Firmenstandard installiert", "hilfetext": "Der Firmenstandard steht in der Dokumentation, nicht im Kopf. Abweichungen im nächsten Schritt festhalten.", "pflicht": true }, { "titel": "Zusätzlich installierte Sondersoftware", "hilfetext": "Alles, was über den Standard hinausgeht, mit Version und Lizenzherkunft notieren — beim nächsten Gerätetausch ist das die Vorlage.", "typ": "TEXT", "konfig": { "mehrzeilig": true } } ] }, { "titel": "Sicherheit", "schritte": [ { "titel": "BitLocker auf allen festen Laufwerken aktiv", "hilfetext": "Datenpartitionen mit verschlüsseln, nicht nur C:. Wechseldatenträger nur, wenn die Richtlinie es vorsieht.", "pflicht": true }, { "titel": "BitLocker-Status prüfen", "hilfetext": "Erwartet werden „Schutzstatus: Der Schutz ist aktiviert“ und „Verschlüsselt: 100 %“. Solange die Verschlüsselung noch läuft, ist das Laufwerk nicht geschützt.", "typ": "BEFEHL", "pflicht": true, "konfig": { "shell": "cmd", "befehl": "manage-bde -status C:" } }, { "titel": "Recovery-Key in AD/Entra bzw. Passwortmanager hinterlegt", "hilfetext": "Den Schlüssel niemals in diese Checkliste schreiben.", "pflicht": true }, { "titel": "Lokales Adminkonto nach Standard (LAPS aktiv oder Passwort im Passwortmanager)", "hilfetext": "Kein gemeinsames Kennwort über mehrere Geräte. Mit LAPS prüfen, ob das Kennwort tatsächlich im Verzeichnis ankommt.", "pflicht": true }, { "titel": "Windows-Firewall in allen Profilen aktiv", "hilfetext": "Domäne, Privat und Öffentlich einzeln prüfen. Manche Installationspakete schalten ein einzelnes Profil ab und lassen es so.", "pflicht": true } ] }, { "titel": "Benutzer", "schritte": [ { "titel": "Daten zurückgespielt und vom Benutzer stichprobenartig geprüft", "hilfetext": "Die Person öffnet selbst zwei oder drei Dateien und ihr Mailarchiv. Erst danach gilt die Sicherung als brauchbar — und erst danach darf das Altgerät gelöscht werden.", "pflicht": true }, { "titel": "Drucker und Netzlaufwerke eingerichtet", "hilfetext": "Einmal probedrucken und in jedem Laufwerk eine Datei speichern. Ein verbundenes Laufwerk heißt nicht, dass Schreibrechte bestehen.", "pflicht": true }, { "titel": "Mailprofil eingerichtet, Senden/Empfangen getestet", "hilfetext": "Testmail nach außen und zurück. Signatur, Freigabekalender und zusätzliche Postfächer nicht vergessen.", "pflicht": true }, { "titel": "Funktionstest gemeinsam mit {{benutzer}} durchgeführt", "hilfetext": "Die Programme durchgehen, die die Person täglich braucht. Was hier auffällt, kostet zehn Minuten; was später auffällt, einen zweiten Termin.", "pflicht": true } ] }, { "titel": "Abschluss", "schritte": [ { "titel": "Inventar und Dokumentation aktualisiert", "hilfetext": "Seriennummer, Standort, Besitzer und Kaufdatum nachziehen, damit ein Garantiefall später zuzuordnen ist.", "pflicht": true }, { "titel": "Gerät im Monitoring sichtbar", "hilfetext": "Im Monitoring nachsehen, ob das Gerät Werte liefert und die Schwellwerte gesetzt sind. Ein installierter Agent allein sagt nichts.", "pflicht": true }, { "titel": "Verbleib Altgerät bzw. alter Datenträger", "hilfetext": "Erst eintragen, wenn die Daten nachweislich zurückgespielt und geprüft sind. „Sicher gelöscht“ heißt überschrieben, nicht formatiert.", "typ": "AUSWAHL", "pflicht": true, "konfig": { "optionen": ["Sicher gelöscht", "Datenträger vernichtet", "Eingelagert", "Kein Altgerät"] } }, { "titel": "Gerät an {{benutzer}} übergeben", "hilfetext": "Übergabe mit Datum festhalten. Bei Notebooks Netzteil, Tasche und Dockingstation mitzählen.", "pflicht": true }, { "titel": "Ticket {{ticket}} geschlossen", "hilfetext": "Im Ticket kurz festhalten, was getauscht wurde und wo die Dokumentation liegt. Der Laufzettel ersetzt den Abschlusskommentar nicht.", "pflicht": true } ] } ] } }