Aktivieren des Bildschirmaufnahmeschutzes in Azure Virtual Desktop & Windows 365

Der Schutz durch Bildschirmaufnahmen verhindert neben Wasserzeichen, dass vertrauliche Daten auf Clientgeräten mit bestimmten Betriebssystemfeatures und APIs erfasst werden. Wenn Sie den Bildschirmaufnahmeschutz aktivieren, werden Remoteinhalte in Screenshots und der Bildschirmfreigabe automatisch blockiert. Dieses Feature kann auf virtuelle Azure Virtual Desktop-Computer und Windows 365 Cloud-PCs angewendet werden.

Wenn der Bildschirm-Mitschreiben Schutz (Screen Protection, SCP) aktiviert ist, um die Bildschirmaufnahme auf dem Client zu blockieren, können Benutzer weiterhin ihren Remotedesktop oder einzelne Anwendungen mit unterstützten Zusammenarbeitsumgebungen wie Microsoft Teams freigeben. Die Kompatibilität zwischen der SCP- und Teams-Bildschirmfreigabe hängt von der Verwendung unterstützter Clientkonfigurationen ab. Wenn nicht unterstützte Konfigurationen verwendet werden, werden geschützte Inhalte während der Freigabe möglicherweise als schwarzer Bildschirm angezeigt. Aktuelle Kompatibilitätsanforderungen und Konfigurationsleitfäden mit Teams finden Sie hier.

Ermitteln Ihrer Konfiguration

Die Schritte zum Konfigurieren des Bildschirmaufnahmeschutzes hängen davon ab, wo Sie ihn konfigurieren, von welchen Plattformen aus Ihre Benutzer eine Verbindung herstellen und welches Szenario Sie erreichen möchten.

• Windows- und macOS-Geräte: Sie verhindern Bildschirmaufnahmen, indem Sie virtuelle Computer (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mithilfe einer Intune-Gerätekonfigurationsrichtlinie oder -Gruppenrichtlinie konfigurieren. Die Windows-App oder der Remotedesktopclient erzwingt Bildschirmaufnahmeschutzeinstellungen ohne weitere Konfiguration.

  Wenn Sie den Bildschirmaufnahmeschutz auf virtuellen Computern oder Cloud-PCs konfigurieren, gibt es zwei weitere Einstellungen, die Sie konfigurieren können, um Ihre Anforderungen zu erfüllen:

  • Bildschirmaufnahme auf Client blockieren: Verhindert die Bildschirmaufnahme vom lokalen Gerät von Anwendungen, die in der Remotesitzung ausgeführt werden.

  • Bildschirmaufnahme auf Client und Server blockieren: Verhindert die Bildschirmaufnahme von Anwendungen, die in der Remotesitzung ausgeführt werden, vom lokalen Gerät, verhindert aber auch, dass Tools und Dienste innerhalb des virtuellen Computers oder des Cloud-PCs den Bildschirm aufzeichnen.

  In diesem Szenario sehen Sie das Ergebnis bei der Verbindung von jedem Plattformtyp aus:

^{1. Hybride Erzwingung (iOS/iPadOS/Android/Web): Wenn der Bildschirm-Mitschreiben-Schutz auf dem virtuellen Computer oder Cloud-PC aktiviert ist, sind Verbindungen von verwalteten iOS/iPadOS- und Android-Geräten zulässig, wenn sie durch eine Intune MAM-App-Schutzrichtlinie geschützt sind, die Bildschirmaufnahmen blockiert. Im Web sind Verbindungen von Microsoft Edge for Business möglich, wenn das Edge-Arbeitsprofil eine Intune MAM-App-Schutzrichtlinie empfängt, die den Schutz der Bildschirmaufnahme durch die Edge-DLP-Features (Data Loss Prevention) erzwingt. Die hybride Erzwingung ist nicht anwendbar auf Plattformen, die Intune MAM nicht unterstützen.}

• Android, iOS/iPadOS und Webverbindungen: Bildschirmaufnahmen werden verhindert, indem lokale Geräte mit Microsoft Intune Mobile Application Management (MAM) konfiguriert werden. Tools und Dienste innerhalb des virtuellen Computers oder Cloud-PCs können dadurch nicht den Bildschirm aufzeichnen. Weitere Informationen finden Sie unter Verwalten lokaler Einstellungen für die Geräteumleitung mit Microsoft Intune.

  In diesem Szenario sehen Sie das Ergebnis bei der Verbindung von jedem Plattformtyp aus:

^{1. Im Web wird der Bildschirmaufnahmeschutz von den Funktionen von Edge for Business zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) erzwungen, wenn Benutzer eine Verbindung mit Microsoft Edge for Business herstellen und eine Intune MAM-App-Schutzrichtlinie erhalten. Konfigurationsschritte finden Sie unter Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM.}

Plattformüberlegungen für den Bildschirmaufnahmeschutz unter macOS

Obwohl Windows vollständig unterstützt wird, gibt es unter macOS bekannte Einschränkungen aufgrund der aktuellen Sicherheitsarchitektur der Plattform:

• Microsoft Teams-Kompatibilität: Unter macOS kann die Aktivierung des Bildschirmaufnahmeschutzes die Bildschirmfreigabe in Microsoft Teams beeinträchtigen, wodurch freigegebene Fenster möglicherweise leer angezeigt oder nicht ordnungsgemäß angezeigt werden. Wenn eine Teams-basierte Zusammenarbeit erforderlich ist, muss der Schutz vor Bildschirmaufnahmen möglicherweise vorübergehend auf dem Gerät deaktiviert werden.

• Durchsetzung auf Plattformebene: Aufgrund von macOS-Einschränkungen respektieren einige native Anwendungen die Durchsetzung des Bildschirmaufnahmeschutzes möglicherweise nicht vollständig. Hierbei handelt es sich um eine Einschränkung der verfügbaren APIs des Betriebssystems und nicht um einen Fehler im Schutz der Bildschirmaufnahme selbst.

Hier sind einige Empfehlungen für diese Einschränkungen:

• Erwägen Sie für macOS-Workflows mit hohem Aufwand die Konfiguration der Schutzeinstellungen für Bildschirmaufnahmen entsprechend den Unternehmensanforderungen und der Risikostufe.

• Für hochsensible Inhalte werden Windows-Endpunkte für die vollständige Erzwingung der Bildschirmschutzfunktionen empfohlen.

• Wasserzeichen und Verwaltungsrichtlinien können genutzt werden, um Missbrauch auf Plattformen mit begrenzter Durchsetzung weiter zu verhindern.

Bereitstellungsmuster für Admins

Die folgenden Muster beschreiben allgemeine Bereitstellungsszenarien für den Schutz von Bildschirmaufnahmen:

Muster 1: Desktopendpunkte (Windows und macOS)

Wenn Ihre Benutzer nur über Windows- oder macOS-Geräte eine Verbindung herstellen, konfigurieren Sie den Bildschirmaufnahmeschutz auf virtuellen Computern (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mithilfe einer Intune-Gerätekonfigurationsrichtlinie oder -Gruppenrichtlinie. Es ist keine MAM-Konfiguration erforderlich.

• Konfigurieren Sie virtuelle Computer (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mit aktiviertem Bildschirmaufnahmeschutz.
• Die Windows-App und der Remotedesktopclient erzwingen den Schutz automatisch.

Muster 2: Gemischte Endpunkte (Windows/macOS und Android/iOS)

Wenn Ihre Benutzer sowohl von Desktop- als auch von Mobilgeräten aus eine Verbindung herstellen, verwenden Sie die Hybriderzwingung. Konfigurieren Sie den Bildschirmaufnahmeschutz sowohl auf dem virtuellen Computer oder Cloud-PC als auch die Intune MAM-App-Schutzrichtlinie.

• Konfigurieren Sie virtuelle Computer (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mit aktiviertem Bildschirmaufnahmeschutz (Intune- oder Gruppenrichtlinie).
• Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie, um Bildschirmaufnahmen auf Android- und iOS/iPadOS-Geräten zu blockieren.
• Unter Android und iOS/iPadOS unterstützt die Windows-App die Hybriddurchsetzung: Wenn sowohl der vom Administrator konfigurierte SCP als auch die MAM-Richtlinie die Bildschirmaufnahme blockieren, ist die Verbindung zulässig und die Bildschirmaufnahme wird blockiert. Wenn die MAM-Richtlinie die Bildschirmaufnahme nicht blockiert, ist die Android- und iOS/iPadOS-Verbindung blockiert.

Muster 3: Webendpunkte (Browserzugriff)

Wenn Ihre Benutzer eine Verbindung über den Webclient herstellen, erzwingen Sie den Bildschirmaufnahmeschutz durch Microsoft Edge for Business. Konfigurieren Sie eine Richtlinie für bedingten Zugriff, die eine App-Schutzrichtlinie für den Browserzugriff auf Ihre Remoteressourcen erfordert, zusammen mit einer Intune MAM-App-Schutzrichtlinie für Windows, die auf Microsoft Edge ausgerichtet ist.

• Erstellen Sie eine Richtlinie für bedingten Zugriff, die auf Ihre Remoteressourcen (Windows 365 oder Azure Virtual Desktop) abzielt, für die Windows-Geräteplattform und die Browserclient-App gilt und eine App-Schutzrichtlinie erfordert.
• Erstellen Sie eine Intune MAM-App-Schutzrichtlinie für Windows, die auf Microsoft Edge ausgerichtet ist und das Ausschneiden, Kopieren und Einfügen auf Organisationsquellen und -ziele beschränkt, wodurch der Bildschirmaufnahmeschutz für das gesamte Edge-Arbeitsprofil aktiviert wird.
• Konfigurationsschritte finden Sie unter Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM.

Voraussetzungen

Bevor Sie den Bildschirmaufnahmeschutz konfigurieren können, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Für Szenarien, in denen Sie virtuelle Computer oder Cloud-PCs konfigurieren müssen, muss auf diesen virtuellen Computern oder Cloud-PCs ein Windows 11, Version 22H2 oder höher, oder Windows 10, Version 22H2 oder höher ausgeführt werden.

• Benutzer müssen eine Verbindung mit Azure Virtual Desktop mit der Windows-App oder der Remotedesktop-App herstellen, um den Bildschirmaufnahmeschutz verwenden zu können. Die folgende Tabelle zeigt die unterstützten Szenarien:

  • Windows-App:

    Plattform	Mindestversion	Desktopsitzung	RemoteApp-Sitzung
    Windows-App unter Windows	Any	Ja	Ja. Das lokale Gerätebetriebssystem muss Windows 11, Version 22H2 oder höher sein.
    Windows-App unter macOS	Any	Ja	Ja
    Windows-App unter iOS/iPadOS	11.2.4	Ja	Ja
    Windows-App auf Android¹	11.0.0.94	Ja	Ja

    ^{1. Enthält keine Unterstützung für Chrome OS, da Intune MAM auf Chrome OS nicht unterstützt wird.}

  • Remotedesktopclient:

    Plattform	Mindestversion	Desktopsitzung	RemoteApp-Sitzung
    Windows (Desktopclient)	1.2.1672	Ja	Ja. Das lokale Gerätebetriebssystem muss Windows 11, Version 22H2 oder höher sein.
    macOS	10.7.0 oder höher	Ja	Ja

• Zum Konfigurieren von Microsoft Intune benötigen Sie Folgendes:

  • Microsoft Entra ID-Konto, dem die integrierte RBAC-Rolle des Richtlinien- und Profilmanagers zugewiesen ist.

  • Gruppe, welche die Geräte enthält, die Sie konfigurieren möchten.

• Zum Konfigurieren von Gruppenrichtlinien benötigen Sie Folgendes:

  • Ein Domänenkonto, das Mitglied der Sicherheitsgruppe " Domänenadministratoren " ist.

  • Eine Sicherheitsgruppe oder Organisationseinheit (OU), die die Geräte enthält, die Sie konfigurieren möchten.

Aktivieren des Bildschirmaufnahmeschutzes auf virtuellen Computern und Cloud-PCs mithilfe einer Intune-Gerätekonfigurationsrichtlinie oder -Gruppenrichtlinie

Wählen Sie die entsprechende Registerkarte für Ihr Szenario aus.

Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM

Für Android, iOS/iPadOS und den Webclient (unter Windows) erzwingen Sie den Schutz von Bildschirmaufnahmen durch die mobile Intune-Anwendungsverwaltung (Mobile Application Management, MAM). Für jeden dieser Ansätze besteht die Konfiguration aus zwei Teilen:

1. Wenden Sie den Bildschirmaufnahmeschutz an: Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie, die den Bildschirmaufnahmeschutz auf die Client-App anwendet.
2. Erzwingen der App-Schutzrichtlinie: Konfigurieren Sie eine Richtlinie für bedingten Zugriff, die die App-Schutzrichtlinie erfordert, sodass Benutzer nur eine Verbindung herstellen können, wenn die Richtlinie auf den Client angewendet wird.

Schritt 1: Anwenden des Bildschirmaufnahmeschutzes mit einer Intune MAM-App-Schutzrichtlinie

Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie für die Plattform, von der aus Ihre Benutzer eine Verbindung herstellen. Führen Sie die Schritte aus, um die Sicherheitskonformität lokaler Clientgeräte mit Microsoft Intune und bedingtem Microsoft Entra-Zugriff zu erfordern, und konfigurieren Sie dann auf der Registerkarte Datenschutz die Einstellung für Ihre Plattform:

• iOS/iPadOS (Windows-App): Bildschirmaufnahme auf "Blockieren" setzen.

  

• Android (Windows-App): Bildschirmaufnahme auf "Blockieren" festlegen.

  

• Web (Microsoft Edge for Business unter Windows): Als Ziel für Microsoft Edge in einer Windows-App-Schutzrichtlinie und Festlegen von Ausschneiden, Kopieren und Einfügen erlauben für zu Organisationsdatenziele und Organisationsdatenquellen. Dadurch wird automatisch der Bildschirmaufnahmeschutz im gesamten Edge-Arbeitsprofil aktiviert. Weitere Informationen zu den Features von Edge for Business zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) finden Sie unter Datenschutzfeatures für Microsoft Edge mit Intune App Protection (MAM).

Konfigurieren Sie weitere Einstellungen basierend auf Ihren Anforderungen, und weisen Sie dann Ihren Benutzern die App-Schutzrichtlinie zu.

Erzwingen der App-Schutzrichtlinie mit bedingtem Zugriff

Die App-Schutzrichtlinie wendet den Schutz vor Bildschirmaufnahmen an, aber eine Richtlinie für bedingten Zugriff erfordert, dass diese Richtlinie vorhanden ist, bevor ein Benutzer eine Verbindung herstellen kann. Ohne sie könnte ein Benutzer eine Verbindung über eine nicht verwaltete App oder einen nicht verwalteten Browser herstellen, die nicht dem Schutz für Bildschirmaufnahmen unterliegen. Erstellen Sie eine Richtlinie für bedingten Zugriff, damit Verbindungen von Android, iOS/iPadOS und dem Webclient (unter Windows) eine konforme App-Schutzrichtlinie erfordern.

Erstellen Sie im Microsoft Entra Admin Center eine Richtlinie mit den folgenden Einstellungen:

Legen Sie unter Bedingungen die Geräteplattform und Client-App für jede Plattform fest, die Sie schützen möchten:

Weisen Sie die Richtlinie denselben Benutzern zu wie die App-Schutzrichtlinie.

Überprüfen des Bildschirmaufnahmeschutzes

So überprüfen Sie, ob der Schutz vor Bildschirmaufnahmen funktioniert:

1. Stellen Sie eine Verbindung zu einer neuen Remotesitzung mit einem unterstützten Client her. Stellen Sie keine erneute Verbindung mit einer vorhandenen Sitzung her. Sie müssen sich von allen vorhandenen Sitzungen abmelden und erneut anmelden, damit die Änderung wirksam wird.

2. Erstellen Sie von einem lokalen Gerät aus einen Screenshot oder geben Sie Ihren Bildschirm in einem Teams-Anruf oder -Besprechung frei. Der Inhalt ist blockiert oder ausgeblendet.

3. Wenn Sie auf Windows- und macOS-Geräten die Option " Bildschirmaufnahme blockieren" auf Client und Server auf Ihren virtuellen Computern oder Cloud-PCs aktiviert haben, versuchen Sie, den Bildschirm mit einem Tool oder Dienst auf dem virtuellen Computer oder Cloud-PC aufzuzeichnen. Der Inhalt ist blockiert oder ausgeblendet.

Wenn Sie den Bildschirmaufnahmeschutz auf virtuellen Computern oder Cloud-PCs aktivieren, müssen Sie eine Verbindung von einem unterstützten Gerät herstellen. Andernfalls wird eine Fehlermeldung angezeigt, die besagt, dass der Bildschirmaufnahmeschutz aktiviert ist. Die Fehlermeldung sieht in etwa wie folgt aus:

• Webbrowser:

  

• iOS/iPadOS:

  

Überprüfen und Beheben von Problemen mit der Hybrid-Erzwingung von Android oder iOS/iPadOS

Wenn vom Administrator konfiguriertes SCP aktiviert ist, sind Android- oder iOS/iPadOS-Verbindungen nur zulässig, wenn die MAM-App-Schutzrichtlinie auch die Bildschirmaufnahme blockiert (Hybriderzwingung).

So überprüfen Sie, ob die Hybriderzwingung für Android oder iOS/iPadOS funktioniert:

1. Vergewissern Sie sich, dass die Intune MAM-App-Schutzrichtlinie auf den Benutzer und das Gerät angewendet wurde. Überprüfen Sie im Microsoft Intune Admin Center die status App-Schutzrichtlinie für den Benutzer unterApp-Monitor>>App-Schutz status.

2. Melden Sie sich auf dem Android- oder iOS/iPadOS-Gerät von der Windows-App ab und wieder an, um die neuesten Richtlinieneinstellungen zu erhalten.

3. Stellen Sie eine Verbindung zur Remotesitzung her. Wenn sowohl die vom Administrator konfigurierte SCP als auch die MAM-Richtlinie die Bildschirmaufnahme blockieren, ist die Verbindung erfolgreich und die Bildschirmaufnahme wird blockiert.

Wenn Android- oder iOS/iPadOS-Verbindungen unerwartet blockiert werden, überprüfen Sie Folgendes:

• Stellen Sie sicher, dass dem Benutzer die MAM-App-Schutzrichtlinie zugewiesen ist und dass die Bildschirmaufnahmeauf "Blockieren" festgelegt ist.
• Starten Sie die Windows-App auf dem Android- oder iOS/iPadOS-Gerät neu oder melden Sie sich ab und wieder an.
• Vergewissern Sie sich, dass die installierte Version der Windows-App für Android oder iOS/iPadOS die Hybriderzwingung unterstützt.
• Vergewissern Sie sich, dass auf dem Android-Gerät keine ChromeOS oder Meta Quest ausgeführt werden, die Intune MAM nicht unterstützen.

Verwandte Inhalte

• Wasserzeichen aktivieren, bei denen Administratoren die Sitzung anhand eines QR-Codes nachverfolgen können.

• Weitere Informationen zum Sichern Ihrer Azure Virtual Desktop-Bereitstellung finden Sie unter Bewährte Methoden für die Sicherheit.