Alles, was Sie für Einrichtung & Rollout brauchen.

Was SunnyAtlas ist.

SunnyAtlas ist eine moderne Mitarbeiter- und Arbeitsplatz-App für Microsoft-365-Organisationen. Sie verbindet das Unternehmensverzeichnis, Räume und Kalender, Microsoft-Teams-Präsenz, Aufgaben und eine unternehmensweite Suche in einer schnellen, nativen Windows-Anwendung.

Wichtigste Funktionen

• Mitarbeiter-Verzeichnis mit Profilen, Abteilungen und Organigramm.
• Räume & Buchungen – Verfügbarkeit, Kapazitäten, Etagen, direktes Buchen.
• Mein Arbeitstag – Termine, Aufgaben und Tagesüberblick.
• Microsoft-Teams-Präsenz (Verfügbar, Beschäftigt, Bitte nicht stören) und eigener Statuswechsel.
• Teams-Chat direkt aus dem Mitarbeiterprofil.
• Aufgaben aus Microsoft To Do und Planner.
• Globale Suche über Personen, Dateien und SharePoint.
• Arbeitszeiterfassung (lokal, unabhängig von Teams).
• Urlaub & Abwesenheit mit automatischer Abwesenheitsnotiz.

Systemvoraussetzungen.

Für den reinen App-Betrieb durch Anwender werden keine Administratorrechte benötigt – nur die einmalige Einrichtung verlangt ein Admin-Konto.

Architektur & Sicherheit.

SunnyAtlas ist auf Datensparsamkeit und einen sauberen Berechtigungs-Lebenszyklus ausgelegt.

Erste Einrichtung (Admin).

Dieser Abschnitt richtet sich an den IT-Administrator und ist einmalig pro Organisation durchzuführen.

Voraussetzungen für die Einrichtung

• Ein Konto mit Global Administrator oder Anwendungsadministrator in Entra ID.
• Zugriff auf das Microsoft Entra Admin Center (https://entra.microsoft.com) bzw. das Azure-Portal.
• SunnyAtlas auf dem Administrator-Gerät installiert (siehe Installation).

Schritt 1 – Entra-ID-App-Registrierung anlegen

SunnyAtlas nutzt eine eigene App-Registrierung in Ihrem Tenant. Legen Sie diese mit den folgenden Pflichtwerten an:

1. Microsoft Entra Admin Center öffnen → Identität → Anwendungen → App-Registrierungen → Neue Registrierung.
2. Name:  SunnyAtlas Registration App
3. Unterstützte Kontotypen:  Nur Konten in diesem Organisationsverzeichnis (Single Tenant).
4. Registrierung anlegen, danach unter Authentifizierung → Plattform hinzufügen konfigurieren.

Warum diese App-Registrierungsoptionen gesetzt werden

• Redirect URI / Loopback: Die Desktop-App empfängt den Anmeldeabschluss lokal auf dem Gerät. Der Token wird nicht an eine externe Website umgeleitet; dadurch bleibt der OAuth-Rückkanal auf die native App beschränkt.
• Public-Client-Flow: Eine installierte Windows-App kann kein Client Secret sicher speichern. PKCE und Public-Client-Flow sind deshalb die passende Architektur für eine native Desktop-Anmeldung.
• Single Tenant: Jede Kundenorganisation nutzt den eigenen Entra-ID-Mandanten. Dadurch bleiben Zustimmung, Rollen, Gruppen, Lizenzen und Datenzugriff tenantgebunden und auditierbar.
• /.default für Anwender: Normale Benutzer erhalten keine Einzelabfragen für Berechtigungen. Sie nutzen genau die vom Administrator geprüfte und tenantweit freigegebene Berechtigungsliste.
• Admin-Zustimmung: Berechtigungen, die Verzeichnis-, Gruppen-, Präsenz-, Datei- oder SharePoint-Daten tenantweit lesen, müssen bewusst durch einen Administrator freigegeben werden. Das verhindert Schattenzustimmungen durch einzelne Benutzer.

Auf der Übersichtsseite der App die Anwendungs-(Client-)ID und die Verzeichnis-(Mandanten-)ID notieren – beide werden im nächsten Schritt benötigt.

Schritt 2 – App in SunnyAtlas verbinden

1. SunnyAtlas auf dem Administrator-Gerät starten – der Einrichtungsassistent führt durch die Schritte.
2. Im Schritt Microsoft 365 die notierte Client-ID (und ggf. die Mandanten-ID) eintragen.
3. Die Admin-Anmeldung durchführen. SunnyAtlas konfiguriert die App-Registrierung daraufhin automatisch.

• Es trägt die benötigten Microsoft-Graph-Berechtigungen ein (vollständige Liste unter Berechtigungen im Detail).
• Es legt die App-Rollen SunnyAtlas.Admin und SunnyAtlas.SuperAdmin an.
• Es prüft und vervollständigt die Loopback-Redirect-URI und den Public-Client-Flow.

Schritt 3 – Tenantweite Admin-Zustimmung

Damit die Anwender die App ohne eigene Zustimmungsdialoge nutzen können, erteilt der Administrator die tenantweite Zustimmung:

1. Im Einrichtungsassistenten den Schritt Berechtigungen und Sicherheit durchlaufen – dort werden alle Berechtigungen mit Verwendungszweck transparent angezeigt.
2. Die Admin-Zustimmung erteilen (Browser-Anmeldung als Administrator, alle Berechtigungen akzeptieren).

SunnyAtlas verifiziert anschließend automatisch, dass der tenantweite Grant vollständig ist, und ergänzt fehlende Berechtigungen selbsttätig. Danach melden sich alle Anwender über die freigegebene /.default-Liste an, ohne weitere Zustimmungsdialoge.

Schritt 4 – Administratoren festlegen

Der Zugriff auf den Admin-Bereich von SunnyAtlas wird über eine Entra-ID-Sicherheitsgruppe gesteuert:

• Legen Sie (falls nicht automatisch erstellt) die Sicherheitsgruppe SunnyAtlas Administrators an und nehmen Sie die gewünschten Administratoren als Mitglieder auf.
• Mitglieder dieser Gruppe erhalten Zugriff auf die Administrations- und Verwaltungsfunktionen.

Schritt 5 – Lizenzierung & Benutzer (Seats)

SunnyAtlas wird seat-basiert lizenziert. Wer die App nutzen darf, wird über die Mitgliedschaft in einer Entra-ID-Gruppe gesteuert:

1. Legen Sie die Sicherheitsgruppe SunnyAtlas Users an.
2. Nehmen Sie alle Mitarbeiter, die SunnyAtlas nutzen sollen, als Mitglieder auf – jedes Mitglied belegt einen Seat (im Rahmen Ihrer Lizenz).
3. Hinterlegen Sie die erhaltene Lizenzdatei in der App (Admin-Bereich). Die Lizenz bestimmt die Edition (Start, Business oder Full) und die Anzahl der verfügbaren Seats.

Die Lizenzprüfung erfolgt anhand der Gruppenmitgliedschaft und ist an Ihren Tenant gebunden. Anwender außerhalb der Gruppe SunnyAtlas Users erhalten keinen lizenzierten Zugang.

Schritt 6 – Benutzer aus dem Verzeichnis ausblenden

Service-, Funktions- oder Administrationskonten sollen häufig nicht im Mitarbeiter-Verzeichnis erscheinen. Dafür gibt es eine eigene Gruppe:

1. Legen Sie die Sicherheitsgruppe SunnyAtlas Hidden Users an.
2. Nehmen Sie alle Konten auf, die unternehmensweit aus dem Verzeichnis ausgeblendet werden sollen.

Mitglieder dieser Gruppe werden in den Verzeichnis-Ansichten ausgeblendet. Im Admin-Bereich bleiben sie für die Verwaltung weiterhin einsehbar.

Testphase (Trial)

Berechtigungen im Detail.

SunnyAtlas fordert ausschließlich Microsoft-Graph-Berechtigungen an, die für konkrete Funktionen benötigt werden. Berechtigungen mit der Markierung Admin erfordern die tenantweite Admin-Zustimmung.

● = tenantweite Admin-Zustimmung erforderlich  ·  – = delegiert, vom Anwender abgedeckt

Installation.

SunnyAtlas kann als MSI, als klassische Setup-EXE oder als Portable-ZIP bereitgestellt werden. Für Unternehmenskunden ist MSI die sauberste Variante für zentrale Softwareverteilung; die Setup-EXE bleibt ideal für Einzelplatzinstallation und für Umgebungen, in denen die Voraussetzungen automatisch mitinstalliert werden sollen.

Welche Datei soll der Kunde bekommen?

MSI – unbeaufsichtigte Installation per CMD

Für Intune, Action1, SCCM/MECM, GPO-Startskripte und klassische CMD-Ausführung wird die MSI ohne Benutzeroberfläche installiert. Der folgende Befehl ist für x64-Geräte gedacht und schreibt ein ausführliches Log in den Windows-Temp-Ordner.

start /wait msiexec.exe /i "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"

start /wait msiexec.exe /i "SunnyAtlas_v11.0.26_arm64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"

Warum genau diese MSI-Optionen?

• start /wait: wartet auf das Ende von msiexec.exe. Das ist wichtig, damit CMD, Intune, SCCM, Action1 oder ein GPO-Skript den echten Exitcode auswerten können und nicht zu früh „erfolgreich“ melden.
• msiexec.exe /i: startet eine Installation aus der MSI-Datei. Diese Variante ist für verwaltete Unternehmensrollouts sauberer als eine manuelle Setup-EXE, weil Installation, Inventar, Erkennung und Deinstallation standardisiert sind.
• /qn: unterdrückt die Oberfläche vollständig. Benutzer sehen keinen Assistenten, keine Rückfragen und keine blockierenden Dialoge; das ist Voraussetzung für Silent Deployment und Intune-Systemkontext.
• /norestart und REBOOT=ReallySuppress: verhindern automatische Neustarts doppelt abgesichert. Das Endpoint-Management entscheidet zentral, ob und wann ein Gerät neu startet.
• /L*v "%WINDIR%TempSunnyAtlas_install.log": schreibt ein sehr ausführliches MSI-Log an einen Ort, der auch im SYSTEM-Kontext existiert. Dadurch kann die IT Installationsfehler später zuverlässig analysieren.
• x64 und ARM64 getrennt: verhindert Architekturfehler. Intel-/AMD-Geräte erhalten x64, ARM-/Snapdragon-Geräte erhalten arm64.

CMD – Deinstallation / Intune-Uninstall

Für eine kontrollierte Entfernung wird derselbe MSI-Mechanismus mit /x verwendet. Der Befehl kann lokal in CMD, als Intune-Win32-Uninstall-Befehl über cmd.exe /c oder in anderen Endpoint-Werkzeugen genutzt werden.

start /wait msiexec.exe /x "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"

Setup-EXE – interaktiv oder silent

Die Setup-EXE eignet sich für manuelle Installation, kleine Pilotgruppen oder Umgebungen, in denen das Setup Voraussetzungen mitbringen soll.

SunnyAtlas_v11.0.26_x64_Setup.exe /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /LOG="C:WindowsTempSunnyAtlas_Setup_x64.log"

Erkennung nach der Installation

Paketverteilung.

Eckdaten für alle Werkzeuge

Robuste Deinstallation ohne festen ProductCode – geeignet für Intune/Action1/SCCM als PowerShell-Uninstall-Skript:

$paths = @(
  'HKLM:SOFTWAREMicrosoftWindowsCurrentVersionUninstall*',
  'HKLM:SOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionUninstall*'
)
$app = Get-ItemProperty -Path $paths -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -eq 'SunnyAtlas' } |
  Sort-Object DisplayVersion -Descending |
  Select-Object -First 1

if (-not $app) { Write-Host 'SunnyAtlas ist nicht installiert.'; exit 0 }

$log = Join-Path $env:WINDIR 'TempSunnyAtlas_Uninstall.log'
$uninstall = [string]$app.UninstallString
if ($uninstall -match '{[0-9A-Fa-f-]{36}}') {
  $p = Start-Process msiexec.exe -ArgumentList "/x $($Matches[0]) /qn /norestart REBOOT=ReallySuppress /L*v `"$log`"" -Wait -PassThru
  exit $p.ExitCode
}

$inno = Join-Path $env:ProgramFiles 'SunnyAtlasunins000.exe'
if (Test-Path $inno) {
  $p = Start-Process $inno -ArgumentList "/VERYSILENT /SUPPRESSMSGBOXES /NORESTART /LOG=`"$log`"" -Wait -PassThru
  exit $p.ExitCode
}

Write-Error 'SunnyAtlas-Uninstaller wurde nicht gefunden.'
exit 1

Microsoft Intune

1. x64-Paket vorbereiten

mkdir C:SunnyAtlasIntunex64
copy SunnyAtlas_v11.0.26_x64.msi C:SunnyAtlasIntunex64
IntuneWinAppUtil.exe -c C:SunnyAtlasIntunex64 -s SunnyAtlas_v11.0.26_x64.msi -o C:SunnyAtlasIntuneout

• Installationsbefehl Win32-App:cmd.exe /c start /wait msiexec.exe /i "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"
• Deinstallationsbefehl Win32-App:cmd.exe /c start /wait msiexec.exe /x "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"
• MSI-LOB-Argumente:/qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"
• Installationsverhalten: System
• Geräteneustart: Keine bestimmte Aktion
• Erkennungsregel: Datei C:Program FilesSunnyAtlasSunnyAtlas.exe, Version ≥ 11.0.26.1126
• Zuweisung: x64 und ARM64 in getrennten Gruppen oder mit Gerätefiltern trennen.

Warum diese Intune-Einstellungen?

• Win32-App statt nur manuelle Installation: erlaubt Installation und Deinstallation mit klaren Befehlen, Abhängigkeiten, Rückgabecodes, Erkennungsregeln und Wiederholungslogik.
• cmd.exe /c start /wait: stellt sicher, dass der CMD-interne Befehl start verfügbar ist und Intune nicht weiterläuft, bevor Windows Installer fertig ist.
• Installationsverhalten „System“: installiert per-machine nach C:Program FilesSunnyAtlas, unabhängig davon, welcher Benutzer angemeldet ist.
• Geräteneustart „Keine bestimmte Aktion“: passt zu /norestart und REBOOT=ReallySuppress; Neustarts bleiben unter Kontrolle der IT.
• Dateibasierte Erkennung: prüft die tatsächlich installierte App-Datei und Version. Dadurch erkennt Intune zuverlässig, ob das Zielgerät bereits korrekt versorgt ist.
• Getrennte Zielgruppen für x64 und ARM64: verhindert, dass falsche Architekturpakete auf Geräte gelangen.

2. ARM64-Paket analog vorbereiten – gleiche Regeln, aber mit SunnyAtlas_v11.0.26_arm64.msi und eigener ARM64-Zielgruppe.

Microsoft Configuration Manager (SCCM / MECM)

• Anwendungstyp: Windows Installer (*.msi)
• Installationsprogramm:msiexec.exe /i "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"
• Deinstallationsprogramm:msiexec.exe /x "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"
• Installationsverhalten: Für System installieren
• Erkennungsmethode: Datei C:Program FilesSunnyAtlasSunnyAtlas.exe, Version ≥ 11.0.26.1126
• Sammlungen: x64 und ARM64 getrennt bereitstellen.

Action1

Action1 eignet sich gut für SunnyAtlas, weil MSI-Pakete und Silent-Install-Switches zentral verwaltet werden können.

• Custom App Package: neue Windows-App-Version anlegen.
• Installation type:Windows installer (.msi).
• Installer:SunnyAtlas_v11.0.26_x64.msi oder SunnyAtlas_v11.0.26_arm64.msi.
• Install switches:/qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log".
• Uninstall: eigenes Deinstallationspaket oder Run Command mit msiexec.exe /x "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"; bei unbekanntem ProductCode das robuste PowerShell-Skript oben verwenden.
• Inventar/Erkennung: Software-Inventar DisplayName = SunnyAtlas oder Datei-Version von SunnyAtlas.exe.

NinjaOne / PDQ / ManageEngine / baramundi

Für andere Endpoint-Werkzeuge ist der Ablauf identisch: MSI hochladen, Silent-Install mit /qn /norestart REBOOT=ReallySuppress, Erkennung über Datei-Version oder Uninstall-Registry, Deinstallation über MSI-Datei oder Registry-basiertes PowerShell-Skript.

start /wait msiexec.exe /i "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"

Gruppenrichtlinie (GPO)

• MSI auf eine Freigabe legen, die Computerkonten lesen können, z. B. \fileserversoftware$SunnyAtlas.
• Für x64 und ARM64 getrennte GPOs oder WMI-/Sicherheitsfilter verwenden.
• Computer Configuration → Policies → Software Settings → Software installation → New Package → UNC-Pfad der MSI auswählen → Assigned.

Alternative: Computer-Startskript mit Architekturprüfung

$exe = 'C:Program FilesSunnyAtlasSunnyAtlas.exe'
$min = [version]'11.0.26.1126'
$arch = (Get-CimInstance Win32_OperatingSystem).OSArchitecture
$msi = if ($arch -match 'ARM') {
  '\fileserversoftware$SunnyAtlasSunnyAtlas_v11.0.26_arm64.msi'
} else {
  '\fileserversoftware$SunnyAtlasSunnyAtlas_v11.0.26_x64.msi'
}

$installed = $false
if (Test-Path $exe) {
  try {
    $current = [version]((Get-Item $exe).VersionInfo.FileVersion)
    $installed = $current -ge $min
  } catch { $installed = $false }
}

if (-not $installed) {
  $p = Start-Process msiexec.exe -ArgumentList "/i `"$msi`" /qn /norestart REBOOT=ReallySuppress /L*v `"$env:WINDIRTempSunnyAtlas_GPO_Install.log`"" -Wait -PassThru
  exit $p.ExitCode
}
exit 0

Erste Anmeldung (Anwender).

1. SunnyAtlas starten.
2. Mit dem Microsoft-365-Geschäftskonto anmelden (Single Sign-on, sofern eingerichtet).
3. Nach erfolgreicher Anmeldung lädt SunnyAtlas das Verzeichnis und die persönlichen Module.

Funktionen & Module.

Deinstallation.

SunnyAtlas kann interaktiv über Windows oder zentral über MSI/Endpoint-Management entfernt werden. Für produktive Kundentenants sollte die Deinstallation genauso kontrolliert erfolgen wie die Installation.

Interaktiv über Windows

Einstellungen → Apps → Installierte Apps → SunnyAtlas → Deinstallieren.

MSI-Deinstallation

start /wait msiexec.exe /x "SunnyAtlas_v11.0.26_x64.msi" /qn /norestart REBOOT=ReallySuppress /L*v "%WINDIR%TempSunnyAtlas_install.log"

Bei ARM64 entsprechend SunnyAtlas_v11.0.26_arm64.msi verwenden. Wenn die MSI-Datei im Tool nicht mehr lokal verfügbar ist, das robuste PowerShell-Deinstallationsskript aus dem Abschnitt Paketverteilung verwenden.

Setup-EXE/Inno-Deinstallation

"C:Program FilesSunnyAtlasunins000.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /LOG="%WINDIR%TempSunnyAtlas_Uninstall.log"

Was bleibt nach der Deinstallation?

• Die Windows-App wird entfernt.
• Microsoft-365-Daten im Kundentenant werden nicht gelöscht.
• Tenant-Registrierung, Lizenz- und Rechnungsdaten bei SunnyAtlas bleiben nach Vertrag/gesetzlicher Aufbewahrung gespeichert.
• Wenn der Kunde SunnyAtlas vollständig außer Betrieb nimmt, kann die Entra-ID-App-Registrierung und die SunnyAtlas-Gruppen im Kundentenant durch den Kundenadministrator gelöscht werden.

Fehlersuche & FAQ.

Support & Kontakt.

• Website:sunnyatlas.com
• Support / Kontakt:info@sunnyatlas.com

Für eine schnelle Lösung bitte folgende Angaben mitsenden: SunnyAtlas-Version, Windows-Version, Architektur (ARM64/x64), Verteilwerkzeug, Installationsbefehl, Logdatei und Screenshot der Fehlermeldung.

Diese Dokumentation bezieht sich auf SunnyAtlas v11.0.26 (Build 1126) und die Website-Plugin-Version 4.2.0.