Aktivieren des Bildschirmaufnahmeschutzes in Azure Virtual Desktop und Windows 365

Der Schutz durch Bildschirmaufnahmen verhindert neben Wasserzeichen, dass vertrauliche Daten auf Clientgeräten mit bestimmten Betriebssystemfeatures und APIs erfasst werden. Wenn Sie den Bildschirmaufnahmeschutz aktivieren, werden Remoteinhalte in Screenshots und der Bildschirmfreigabe automatisch blockiert. Dieses Feature kann auf virtuelle Azure Virtual Desktop-Computer und Windows 365 Cloud-PCs angewendet werden.

Wenn der Bildschirmaufnahmeschutz (Screen Capture Protection, SCP) aktiviert ist, um die Bildschirmaufnahme auf dem Client zu blockieren, können Benutzer weiterhin ihren Remotedesktop oder einzelne Anwendungen mit unterstützten Zusammenarbeitsumgebungen wie Microsoft Teams freigeben. Die Kompatibilität zwischen der SCP- und Teams-Bildschirmfreigabe hängt von der Verwendung unterstützter Clientkonfigurationen ab. Wenn nicht unterstützte Konfigurationen verwendet werden, werden geschützte Inhalte während der Freigabe möglicherweise als schwarzer Bildschirm angezeigt. Aktuelle Kompatibilitätsanforderungen und Konfigurationsleitfäden mit Teams finden Sie unter Azure Virtual Desktop-Bildschirmaufnahmeschutz und Microsoft Teams-Kompatibilität.

Ermitteln Ihrer Konfiguration

Die Schritte zum Konfigurieren des Bildschirmaufnahmeschutzes hängen davon ab, wo Sie ihn konfigurieren, von welchen Plattformen aus Ihre Benutzer eine Verbindung herstellen und welches Szenario Sie erreichen möchten.

• Native Clients unter Windows und macOS: Wenn Benutzer eine Verbindung mit der systemeigenen, installierten Windows-App oder dem Remotedesktopclient herstellen, konfigurieren Sie den Bildschirmaufnahmeschutz auf den virtuellen Computern (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mithilfe einer Intune-Gerätekonfigurationsrichtlinie oder einer Gruppenrichtlinie. Der native Client erzwingt diese Einstellungen ohne eine Intune MAM-App-Schutzrichtlinie. Folgen Sie für Browserverbindungen, einschließlich Microsoft Edge unter Windows, Muster 3: Webendpunkte (Browserzugriff).

  Wenn Sie den Bildschirmaufnahmeschutz auf virtuellen Computern oder Cloud-PCs konfigurieren, gibt es zwei weitere Einstellungen, die Sie konfigurieren können, um Ihre Anforderungen zu erfüllen:

  • Bildschirmaufnahme auf Client blockieren: Verhindert die Bildschirmaufnahme vom lokalen Gerät von Anwendungen, die in der Remotesitzung ausgeführt werden.

  • Bildschirmaufnahme auf Client und Server blockieren: Verhindert die Bildschirmaufnahme von Anwendungen, die in der Remotesitzung ausgeführt werden, vom lokalen Gerät, verhindert aber auch, dass Tools und Dienste innerhalb des virtuellen Computers oder des Cloud-PCs den Bildschirm aufzeichnen.

  In diesem Szenario sehen Sie das Ergebnis bei der Verbindung von jedem Plattformtyp aus:

^{1. Hybride Erzwingung (iOS/iPadOS/Android/Web): Wenn der Bildschirmaufnahmeschutz auf dem virtuellen Computer oder Cloud-PC aktiviert ist, sind Verbindungen aus der Windows-App unter iOS/iPadOS und Android zulässig, wenn eine Intune MAM-App-Schutzrichtlinie, die Bildschirmaufnahmen blockiert, für die App gilt. Im Web sind Verbindungen von Microsoft Edge for Business möglich, wenn das Edge-Arbeitsprofil eine Intune MAM-App-Schutzrichtlinie empfängt, die den Schutz der Bildschirmaufnahme durch die Edge-DLP-Features (Data Loss Prevention) erzwingt. Die hybride Erzwingung ist nicht anwendbar auf Plattformen, die Intune MAM nicht unterstützen.}

• Android, iOS/iPadOS und Webverbindungen: Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie für die unterstützte Client-App, und weisen Sie sie den Benutzern zu, die Schutz benötigen. Für Android und iOS/iPadOS gilt die Richtlinie für Windows-App. Für Webverbindungen unter Windows gilt die Richtlinie für Microsoft Edge for Business über das Arbeitsprofil des Benutzers. Dieser clientseitige Schutz verhindert die lokale Bildschirmaufnahme geschützter Inhalte. Es verhindert nicht, dass Tools und Dienste auf dem virtuellen Computer oder Cloud-PC den Bildschirm erfassen. Konfigurationsschritte finden Sie unter Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM.

  In diesem Szenario sehen Sie das Ergebnis bei der Verbindung von jedem Plattformtyp aus:

^{1. Im Web wird der Bildschirmaufnahmeschutz von den Funktionen von Edge for Business zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) erzwungen, wenn Benutzer eine Verbindung mit Microsoft Edge for Business herstellen und eine Intune MAM-App-Schutzrichtlinie erhalten. Konfigurationsschritte finden Sie unter Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM.}

Plattformüberlegungen für den Bildschirmaufnahmeschutz unter macOS

Der Bildschirmaufnahmeschutz wird unter Windows vollständig unterstützt, weist aber unter macOS aufgrund der aktuellen Sicherheitsarchitektur der Plattform bekannte Einschränkungen auf:

• Microsoft Teams-Kompatibilität: Unter macOS kann die Aktivierung des Bildschirmaufnahmeschutzes die Bildschirmfreigabe in Microsoft Teams beeinträchtigen, wodurch freigegebene Fenster möglicherweise leer angezeigt oder nicht ordnungsgemäß angezeigt werden. Wenn eine Teams-basierte Zusammenarbeit erforderlich ist, muss der Schutz vor Bildschirmaufnahmen möglicherweise vorübergehend auf dem Gerät deaktiviert werden.

• Durchsetzung auf Plattformebene: Aufgrund von macOS-Einschränkungen respektieren einige native Anwendungen die Durchsetzung des Bildschirmaufnahmeschutzes möglicherweise nicht vollständig. Hierbei handelt es sich um eine Einschränkung der verfügbaren APIs des Betriebssystems und nicht um einen Fehler im Schutz der Bildschirmaufnahme selbst.

Hier sind einige Empfehlungen für diese Einschränkungen:

• Erwägen Sie für macOS-Workflows mit hohem Aufwand die Konfiguration der Schutzeinstellungen für Bildschirmaufnahmen entsprechend den Unternehmensanforderungen und der Risikostufe.

• Für hochsensible Inhalte werden Windows-Endpunkte für die vollständige Erzwingung der Bildschirmschutzfunktionen empfohlen.

• Wasserzeichen und Verwaltungsrichtlinien können genutzt werden, um Missbrauch auf Plattformen mit begrenzter Durchsetzung weiter zu verhindern.

Bereitstellungsmuster für Admins

Die folgenden Muster beschreiben allgemeine Bereitstellungsszenarien für den Schutz von Bildschirmaufnahmen:

Muster 1: Native Desktopclients (Windows und macOS)

Verwenden Sie dieses Muster, wenn Benutzer eine Verbindung mit der systemeigenen Windows-App oder dem Remotedesktopclient unter Windows oder macOS herstellen.

• Konfigurieren Sie den Bildschirmaufnahmeschutz auf virtuellen Computern (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mithilfe einer Intune-Gerätekonfigurationsrichtlinie oder einer Gruppenrichtlinie.
• Die Windows-App und der Remotedesktopclient erzwingen die konfigurierten Einstellungen für den Schutz der Bildschirmaufnahme automatisch.

Für diese systemeigenen Clients ist keine Intune MAM-App-Schutzrichtlinie erforderlich. Browserverbindungen verwenden eine andere Konfiguration, auch wenn der Browser auf einem Windows-Gerät ausgeführt wird. Für Browserverbindungen folgen Sie Muster 3: Webendpunkte (Browserzugriff).

Muster 2: Gemischte Endpunkte (Windows/macOS und Android/iOS)

Wenn Ihre Benutzer sowohl von Desktop- als auch von Mobilgeräten aus eine Verbindung herstellen, verwenden Sie die Hybriderzwingung. Konfigurieren Sie den Bildschirmaufnahmeschutz sowohl auf dem virtuellen Computer oder Cloud-PC als auch die Intune MAM-App-Schutzrichtlinie.

• Konfigurieren Sie virtuelle Computer (Azure Virtual Desktop) oder Cloud-PCs (Windows 365) mit aktiviertem Bildschirmaufnahmeschutz (Intune- oder Gruppenrichtlinie).
• Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie, um Bildschirmaufnahmen auf Android- und iOS/iPadOS-Geräten zu blockieren.
• Unter Android und iOS/iPadOS unterstützt die Windows-App die Hybriddurchsetzung: Wenn sowohl der vom Administrator konfigurierte SCP als auch die MAM-Richtlinie die Bildschirmaufnahme blockieren, ist die Verbindung zulässig und die Bildschirmaufnahme wird blockiert. Wenn die MAM-Richtlinie die Bildschirmaufnahme nicht blockiert, ist die Android- und iOS/iPadOS-Verbindung blockiert.

Muster 3: Webendpunkte (Browserzugriff)

Verwenden Sie für die Windows-App in einem Webbrowser Microsoft Edge for Business unter Windows mit einer Intune MAM-App-Schutzrichtlinie, die auf Microsoft Edge ausgerichtet ist. Konfigurieren Sie außerdem eine Richtlinie für bedingten Zugriff, die App-Schutz erfordert, bevor der Zugriff auf Ihre Remoteressourcen gewährt wird.

Der Benutzer muss sich mit dem Geschäftskonto Ihrer organization bei einem Edge-Arbeitsprofil anmelden und dasselbe Konto verwenden, um von diesem Profil aus auf die Windows-App zuzugreifen. Die Anmeldung bei der Windows-App-Website allein reicht nicht aus: Das Edge-Arbeitsprofil muss die App-Schutzrichtlinie Ihrer organization erhalten.

Weisen Sie die App-Schutzrichtlinie den Benutzern zu, die geschützt werden müssen. Wenn ein Auftragnehmer beispielsweise mit einem Geschäftskonto, das Ihr organization bereitstellt, auf die Remoteressourcen Ihres organization zugreift, schließen Sie dieses Konto in die Richtlinienzuweisung ein. Das Zuweisen der Richtlinie zu einem anderen Konto schützt das für diese Verbindung verwendete Profil nicht.

Ein Benutzer kann Geschäftskonten von mehr als einer Organisation haben, z. B. ein Auftragnehmer, der für mehrere Kunden arbeitet. Auf einem Gerät, das keine dieser Organisationen verwaltet, meldet sich der Benutzer für jedes Geschäftskonto bei einem separaten Edge-Arbeitsprofil an. Jedes Profil erhält nur die App-Schutzrichtlinie seiner eigenen Organization. Um eine Verbindung mit Ihren Remoteressourcen mit dem Bildschirmaufnahmeschutz herzustellen, muss der Benutzer die Windows-App über das Profil öffnen, das mit dem Geschäftskonto Ihrer organization angemeldet ist.

Benutzer müssen ihre Geräte nicht in der Geräteverwaltung Ihrer Organization registrieren. Der Schutz vor Webbildschirmaufnahmen wird auf persönlichen Geräten und mit Microsoft Edge for Business Version 147 oder höher auf Geräten unterstützt, die von einer anderen organization verwaltet werden, z. B. dem Arbeitgeber eines Auftragnehmers. Es gelten die folgenden Einschränkungen:

• Geräte, die von Ihrer organization verwaltet werden: Geräte, die von demselben Mandanten verwaltet werden, der die App-Schutzrichtlinie anwendet, werden bei dieser Konfiguration nicht unterstützt. Benutzer auf diesen Geräten können nicht über den Browser auf Ihre Remoteressourcen zugreifen, wenn die Richtlinie für bedingten Zugriff gilt. Sie können stattdessen eine Verbindung mit der nativ installierten Windows-App herstellen, wobei der Bildschirmaufnahmeschutz auf Ihren virtuellen Computern oder Cloud-PCs konfiguriert ist, wie in Muster 1 beschrieben.
• Endpunkt-DLP auf dem Gerät: Wenn Endpunkt-DLP auf Geräteebene aktiviert ist, kann die App-Schutzrichtlinie nicht auf das Edge-Arbeitsprofil angewendet werden, es sei denn, die organization, die das Gerät verwaltet, konfiguriert die MAMWithDeviceDLPEnabled Richtlinie für Microsoft Edge. Bei einem Gerät, das vom Arbeitgeber eines Auftragnehmers verwaltet wird, muss der Arbeitgeber des Auftragnehmers diese Richtlinie konfigurieren.
• Microsoft Defender for Cloud Apps DLP-Richtlinien: Wenn in Microsoft Edge, Version 149 und höher, eine Microsoft Defender for Cloud Apps DLP-Richtlinie ebenfalls gilt, wird diese anstelle der App-Schutzrichtlinie erzwungen. Beide Richtlinien gehören zu Ihrer organization, sodass Sie die Defender for Cloud Apps-Richtlinie anpassen können, um das gewünschte Verhalten zu erhalten.

Weitere Informationen finden Sie unter Unterstützte Szenarien und bekannte Einschränkungen.

So konfigurieren Sie dieses Muster:

• Erstellen Sie eine Richtlinie für bedingten Zugriff, die auf Ihre Remoteressourcen abzielt, für die Windows-Geräteplattform und die Browserclient-App gilt und eine App-Schutzrichtlinie erfordert. Die auszuwählenden Ressourcen finden Sie in Schritt 2: Erstellen Sie App-Schutz, bevor der Zugriff mit bedingtem Zugriff zugelassen wird.
• Erstellen Sie eine Intune MAM-App-Schutzrichtlinie für Windows, die auf Microsoft Edge ausgerichtet ist und das Ausschneiden, Kopieren und Einfügen auf Organisationsquellen und -ziele beschränkt, wodurch der Bildschirmaufnahmeschutz für das gesamte Edge-Arbeitsprofil aktiviert wird.
• Konfigurationsschritte finden Sie unter Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM.

Voraussetzungen

Bevor Sie den Bildschirmaufnahmeschutz konfigurieren können, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Für Szenarien, in denen Sie virtuelle Computer oder Cloud-PCs konfigurieren müssen, müssen diese virtuellen Computer oder Cloud-PCs mit Windows 11, Version 22H2 oder höher, bzw. Windows 10, Version 22H2 oder höher ausgestattet sein.

• Benutzer, die eine Verbindung mit einem systemeigenen Client herstellen, müssen eine unterstützte Version der Windows-App oder des Remotedesktopclients verwenden. Die folgenden Tabellen zeigen die unterstützten Native Client-Szenarien:

  • Windows-App:

    Plattform	Mindestversion	Desktopsitzung	RemoteApp-Sitzung
    Windows-App unter Windows	Any	Ja	Ja. Das lokale Gerätebetriebssystem muss Windows 11, Version 22H2 oder höher sein.
    Windows-App unter macOS	Any	Ja	Ja
    Windows-App unter iOS/iPadOS	11.2.4	Ja	Ja
    Windows-App auf Android¹	11.0.0.94	Ja	Ja

    ^{1. Enthält keine Unterstützung für ChromeOS, da Intune MAM auf ChromeOS nicht unterstützt wird.}

  • Remotedesktopclient:

    Plattform	Mindestversion	Desktopsitzung	RemoteApp-Sitzung
    Windows (Desktopclient)	1.2.1672	Ja	Ja. Das lokale Gerätebetriebssystem muss Windows 11, Version 22H2 oder höher sein.
    macOS	10.7.0	Ja	Ja

• Für Windows-App in einem Webbrowser benötigen Sie:

  • Microsoft Edge for Business unter Windows, Version 134.0.3124.51 oder höher. Auf Geräten, die von einer anderen Organization verwaltet werden, ist Version 147 oder höher erforderlich. Es wird empfohlen, die neueste Version von Microsoft Edge zu verwenden.
  • Ein persönliches Windows-Gerät oder ein Windows-Gerät, das von einer anderen organization verwaltet wird. Geräte, die von demselben Mandanten verwaltet werden, der die App-Schutzrichtlinie anwendet, werden nicht unterstützt. Weitere Geräteeinschränkungen, einschließlich Endpunkt-DLP, finden Sie unter Unterstützte Szenarien und bekannte Einschränkungen.
  • Ein Edge-Arbeitsprofil, das mit dem Geschäftskonto der organization angemeldet ist, das der Benutzer für den Zugriff auf Windows-App verwendet.
  • Eine Microsoft Entra ID-Sicherheitsgruppe, die die Geschäftskonten der Benutzer enthält. Verwenden Sie diese Gruppe, wenn Sie die Intune-App-Schutzrichtlinie und die entsprechende Richtlinie für bedingten Zugriff zuweisen.

  Weitere Voraussetzungen für Intune und bedingten Zugriff finden Sie unter Erfordern der Sicherheitskonformität lokaler Clientgeräte mit Microsoft Intune und Microsoft Entra bedingtem Zugriff.

• Zum Konfigurieren einer Intune-Gerätekonfigurationsrichtlinie auf virtuellen Computern oder Cloud-PCs benötigen Sie Folgendes:

  • Ein Microsoft Entra ID-Konto, dem die integrierte RBAC-Rolle "Richtlinien- und Profilmanager" zugewiesen ist.

  • Gruppe, welche die virtuellen Computer oder Cloud-PCs enthält, die Sie konfigurieren möchten.

• Zum Konfigurieren von Gruppenrichtlinien benötigen Sie Folgendes:

  • Ein Domänenkonto, das Mitglied der Sicherheitsgruppe " Domänenadministratoren " ist.

  • Eine Sicherheitsgruppe oder Organisationseinheit (OU), die die Geräte enthält, die Sie konfigurieren möchten.

Aktivieren des Bildschirmaufnahmeschutzes auf virtuellen Computern und Cloud-PCs mithilfe einer Intune-Gerätekonfigurationsrichtlinie oder -Gruppenrichtlinie

Wählen Sie die entsprechende Registerkarte für Ihr Szenario aus.

Aktivieren des Bildschirmaufnahmeschutzes mit Intune MAM

Für Android, iOS/iPadOS und den Webclient (unter Windows) erzwingen Sie den Schutz von Bildschirmaufnahmen durch die mobile Intune-Anwendungsverwaltung (Mobile Application Management, MAM). Für jeden dieser Ansätze besteht die Konfiguration aus zwei Teilen:

1. Wenden Sie den Bildschirmaufnahmeschutz an: Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie mit den erforderlichen Einstellungen zum Schutz von Bildschirmaufnahmen. Die unterstützte Client-App erzwingt diese Einstellungen.
2. App-Schutz vor dem Zulassen des Zugriffs verlangen: Konfigurieren Sie eine Richtlinie für bedingten Zugriff, die eine App-Schutzrichtlinie erfordert, bevor Benutzer auf die Zielremoteressourcen zugreifen können.

Schritt 1: Anwenden des Bildschirmaufnahmeschutzes mit einer Intune MAM-App-Schutzrichtlinie

Konfigurieren Sie eine Intune MAM-App-Schutzrichtlinie für die Plattform, von der aus Ihre Benutzer eine Verbindung herstellen. Befolgen Sie die Schritte unter Erstellen einer App-Schutzrichtlinie, und verwenden Sie die Einstellungen für App-Auswahl und Bildschirmaufnahmeschutz unten für Ihre Plattform:

• iOS/iPadOS (Windows-App): Bildschirmaufnahme auf "Blockieren" setzen.

  

• Android (Windows-App): Bildschirmaufnahme auf "Blockieren" festlegen.

  

• Web (Microsoft Edge for Business unter Windows): Erstellen oder bearbeiten Sie eine Intune-App-Schutzrichtlinie mit den folgenden Einstellungen:

  Einstellung	Wert
  Policy platform	Windows
  Apps	Microsoft Edge
  Datenschutz>Ausschneiden, Kopieren und Einfügen für	Ziele und Organisationsdatenquellen
  Assignments	Schließen Sie die Sicherheitsgruppe ein, welche die Geschäftskonten enthält, mit denen sich Benutzer bei ihren Edge-Arbeitsprofilen anmelden. Vergewissern Sie sich, dass diese Benutzer nicht von der Richtlinie ausgeschlossen sind.

  Für Webverbindungen ist Microsoft Edge die App, die die App-Schutzrichtlinie erhält, nicht die nativ installierte Windows-App. Der Benutzer muss über das Edge-Arbeitsprofil, das diese Richtlinie erhält, auf Windows-App zugreifen.

  Die obige Zwischenablageeinstellung beschränkt das Kopieren und Einfügen und aktiviert automatisch den Bildschirmaufnahmeschutz für das gesamte geschützte Edge-Arbeitsprofil, einschließlich aller Registerkarten in diesem Profil. Der Schutz ist nicht auf die Registerkarte "Windows-App" beschränkt. Weitere Informationen finden Sie unter Datenschutzfeatures für Microsoft Edge mit Intune App Protection (MAM).

Konfigurieren Sie weitere Einstellungen basierend auf Ihren Anforderungen, und weisen Sie dann Ihren Benutzern die App-Schutzrichtlinie zu.

Schritt 2: App-Schutz verlangen, bevor der Zugriff mit bedingtem Zugriff zugelassen wird

Die Intune MAM-App-Schutzrichtlinie konfiguriert den Bildschirmaufnahmeschutz, und die unterstützte Client-App erzwingt ihn. Für Webverbindungen erzwingt Microsoft Edge for Business den Schutz im Arbeitsprofil, das die Richtlinie erhält.

Der bedingte Zugriff blockiert die Bildschirmaufnahme selbst nicht. Sie erfordert eine App-Schutzrichtlinie, bevor der Zugriff auf die Zielremoteressourcen gewährt wird, wodurch der Zugriff über eine ungeschützte App oder einen ungeschützten Browser verhindert wird. Bei Webverbindungen werden Benutzer möglicherweise aufgefordert, sich beim erforderlichen Edge-Arbeitsprofil anzumelden und die MAM-Registrierung abzuschließen. Die Anmeldung allein reicht nicht aus. Die App-Schutzrichtlinie muss angewendet werden.

Unterscheiden Sie im Hinblick auf Webverbindungen die Richtlinienziele:

• Die Intune-App-Schutzrichtlinie zielt auf Microsoft Edge ab, die Client-App, die den Schutz erzwingt.
• Die Richtlinie für bedingten Zugriff zielt auf den Zugriff der Remote-Ressourcen ab, auf die Benutzer zugreifen. Wählen Sie den Browser unter Bedingungen > für Client-Apps aus, nicht als Zielressource.

Erstellen Sie im Microsoft Entra Admin Center eine Richtlinie mit den folgenden Einstellungen:

Legen Sie unter Bedingungen die Geräteplattform und Client-App für jede Plattform fest, die Sie schützen möchten:

Erstellen Sie die Webrichtlinie getrennt von Android- und iOS/iPadOS-Richtlinien. Systemeigene Clients unter Windows, z. B. Windows-App, unterstützen keine App-Schutzrichtlinien. Eine Richtlinie, die sowohl die Windows-Geräteplattform als auch mobile Apps und Desktopclients umfasst, blockiert deren Verbindungen.

Weitere Informationen zu diesen Ressourcen, einschließlich der Frage, wie sich eine Richtlinie, die auf Windows 365 abzielt, auch auf Anmeldungen im Verwaltungsportal auswirken kann, finden Sie unter Festlegen von Richtlinien für bedingten Zugriff für Windows 365 und Erzwingen der mehrstufigen Microsoft Entra-Authentifizierung für Azure Virtual Desktop mit bedingtem Zugriff.

Weisen Sie jede Richtlinie denselben Benutzern zu wie die entsprechende App-Schutzrichtlinie.

Überprüfen des Bildschirmaufnahmeschutzes

So überprüfen Sie, ob der Schutz vor Bildschirmaufnahmen funktioniert:

1. Stellen Sie eine Verbindung zu einer neuen Remotesitzung mit einem unterstützten Client her. Stellen Sie keine erneute Verbindung mit einer vorhandenen Sitzung her. Sie müssen sich von allen vorhandenen Sitzungen abmelden und erneut anmelden, damit die Änderung wirksam wird.

2. Erstellen Sie von einem lokalen Gerät aus einen Screenshot oder geben Sie Ihren Bildschirm in einem Teams-Anruf oder -Besprechung frei. Der Inhalt ist blockiert oder ausgeblendet.

3. Wenn Sie auf Windows- und macOS-Geräten die Option " Bildschirmaufnahme blockieren" auf Client und Server auf Ihren virtuellen Computern oder Cloud-PCs aktiviert haben, versuchen Sie, den Bildschirm mit einem Tool oder Dienst auf dem virtuellen Computer oder Cloud-PC aufzuzeichnen. Der Inhalt ist blockiert oder ausgeblendet.

Wenn Sie den Bildschirmaufnahmeschutz auf virtuellen Computern oder Cloud-PCs aktivieren, müssen Sie eine Verbindung von einem unterstützten Gerät herstellen. Andernfalls wird eine Fehlermeldung angezeigt, die besagt, dass der Bildschirmaufnahmeschutz aktiviert ist. Die Fehlermeldung sieht in etwa wie folgt aus:

• Webbrowser:

  

• iOS/iPadOS:

  

Überprüfen und Behandeln von Problemen mit dem Schutz von Webbildschirmaufnahmen

Überprüfen Sie für Windows-App in einem Webbrowser, ob das Edge-Arbeitsprofil die erforderliche App-Schutzrichtlinie erhält und dass für den bedingten Zugriff App-Schutz erforderlich ist, bevor der Zugriff gewährt wird.

1. Überprüfen Sie den Browser und das Gerät. Überprüfen Sie Folgendes:

   • Der Benutzer verwendet Microsoft Edge for Business unter Windows, Version 134.0.3124.51 oder höher, oder Version 147 oder höher auf einem Gerät, das von einer anderen organization verwaltet wird.
   • Das Gerät wird nicht von demselben Mandanten verwaltet, der die App-Schutzrichtlinie anwendet. Diese Konfiguration unterstützt diese Geräte nicht.
   • Endpunkt-DLP blockiert die App-Schutzrichtlinie nicht. Wechseln Sie in Microsoft Edge zu edge://edge-dlp-internals. Wenn Endpunkt-DLP auf der Seite "Featurestatus " als Anbieter mit dem Status "Verfügbar" aufgeführt ist, ist Endpunkt-DLP auf Geräteebene aktiviert. Die App-Schutzrichtlinie kann erst angewendet werden, wenn die organization, die das Gerät verwaltet, die MAMWithDeviceDLPEnabled Richtlinie für Microsoft Edge konfiguriert hat. Diese organization kann es in Intune für Edge 148 und höher oder mit der Gruppenrichtlinie oder der Registrierung für Edge 147 festlegen. Weitere Informationen finden Sie unter So überprüfen Sie, ob Endpunkt-DLP auf einem Gerät aktiviert ist.

2. Überprüfen Sie die angemeldete Identität. Vergewissern Sie sich, dass der Benutzer mit dem Geschäftskonto Ihrer organization beim Edge-Arbeitsprofil angemeldet ist und über dieses Profil mit demselben Konto auf die Windows-App zugreift. Das Anmelden auf der Website allein reicht nicht aus. Füllen Sie alle erforderlichen Anmelde- und MAM-Registrierungsaufforderungen für das Arbeitsprofil aus. Wenn der Benutzer über Arbeitsprofile für mehrere Organization verfügt, vergewissern Sie sich, dass er das Profil für Ihre Organization verwendet. Jedes Profil erhält nur die App-Schutzrichtlinie seiner eigenen Organization.

3. Überprüfen Sie die Zielgruppenadressierung und die Einstellungen der App-Schutzrichtlinie. Vergewissern Sie sich, dass die Richtlinie zum Schutz von Windows-Apps auf Microsoft Edge abzielt, das Geschäftskonto des Benutzers über die zugewiesene Gruppe einschließt und diesen Benutzer nicht ausschließt. Vergewissern Sie sich unter Datenschutz, dass Ausschneiden, Kopieren und Einfügen zulassen für auf Organisationsdatenziele und Organisationsdatenquellen festgelegt ist. Wenn Ihre organization auch eine Microsoft Defender for Cloud Apps DLP-Richtlinie anwendet, wird in Microsoft Edge Version 149 und höher diese Richtlinie anstelle der App-Schutzrichtlinie erzwungen.

4. Überprüfen Sie die Richtlinienzustellung. Wechseln Sie im Microsoft Intune Admin Center zu Apps-Monitor >> App-Schutz status. Überprüfen Sie den Richtliniennamen, die App-Version und die letzte Synchronisierung für die App-Instance des Benutzers. Überprüfen Sie, ob die erwartete Richtlinie gemeldet wird und ob die App seit der Änderung der Konfiguration eingecheckt hat. Die Zuweisung allein bestätigt nicht, dass die getestete App-Instance die neueste Konfiguration erhalten hat. Weitere Informationen finden Sie unter Überwachen von App-Schutzrichtlinien.

5. Überprüfen Sie den bedingten Zugriff. Vergewissern Sie sich, dass die Richtlinie den vorgesehenen Benutzer und die Remoteressourcen umfasst, für Windows und Browser gilt und die Richtlinie "App-Schutz erforderlich" verwendet. Eine Richtlinie im Nur-Bericht-Modus erzwingt diese Anforderung nicht. Überprüfen Sie das Microsoft Entra-Anmeldeereignis des Benutzers, um die angewendeten Richtlinien und etwaige Fehlerdetails zu ermitteln. Weitere Informationen finden Sie unter Behandeln von Anmeldeproblemen mit bedingtem Zugriff.

6. Testen Sie eine neue Remotesitzung. Nachdem die erforderliche Richtlinie angewendet wurde, speichern Sie Ihre gesamte Arbeit und melden Sie sich von der vorhandenen Remotesitzung ab. Starten Sie eine neue Sitzung über das geschützte Edge-Arbeitsprofil und versuchen Sie, einen lokalen Screenshot zu erstellen. Der geschützte Remote-Inhalt sollte blockiert oder ausgeblendet werden. Überprüfen Sie mithilfe eines Testkontos außerdem, ob der Zugriff ohne den erforderlichen App-Schutz erst gewährt wird, wenn die Zugriffsvoraussetzungen erfüllt sind.

Wenn das Ergebnis unerwartet ist, notieren Sie das betroffene Geschäftskonto, die Edge-Version, die Richtliniennamen, die Reproduktionszeit und alle Anmeldefehler oder Korrelations-IDs zur weiteren Problembehandlung. Überprüfen Sie das Zielgruppen-Targeting und die Auslieferung von Richtlinien, bevor Sie zu dem Schluss kommen, dass das Browserszenario nicht unterstützt wird.

Überprüfen und Beheben von Problemen mit der Hybrid-Erzwingung von Android oder iOS/iPadOS

Wenn vom Administrator konfiguriertes SCP aktiviert ist, sind Android- oder iOS/iPadOS-Verbindungen nur zulässig, wenn die MAM-App-Schutzrichtlinie auch die Bildschirmaufnahme blockiert (Hybriderzwingung).

So überprüfen Sie, ob die Hybriderzwingung für Android oder iOS/iPadOS funktioniert:

1. Vergewissern Sie sich, dass die Intune MAM-App-Schutzrichtlinie auf den Benutzer und das Gerät angewendet wurde. Überprüfen Sie im Microsoft Intune Admin Center die status App-Schutzrichtlinie für den Benutzer unterApp-Monitor>>App-Schutz status.

2. Melden Sie sich auf dem Android- oder iOS/iPadOS-Gerät von der Windows-App ab und wieder an, um die neuesten Richtlinieneinstellungen zu erhalten.

3. Stellen Sie eine Verbindung zur Remotesitzung her. Wenn sowohl die vom Administrator konfigurierte SCP als auch die MAM-Richtlinie die Bildschirmaufnahme blockieren, ist die Verbindung erfolgreich und die Bildschirmaufnahme wird blockiert.

Wenn Android- oder iOS/iPadOS-Verbindungen unerwartet blockiert werden, überprüfen Sie Folgendes:

• Stellen Sie sicher, dass dem Benutzer die MAM-App-Schutzrichtlinie zugewiesen ist und dass die Bildschirmaufnahmeauf "Blockieren" festgelegt ist.
• Starten Sie die Windows-App auf dem Android- oder iOS/iPadOS-Gerät neu oder melden Sie sich ab und wieder an.
• Vergewissern Sie sich, dass die installierte Version der Windows-App für Android oder iOS/iPadOS die Hybriderzwingung unterstützt.
• Vergewissern Sie sich, dass auf dem Android-Gerät keine ChromeOS oder Meta Quest ausgeführt werden, die Intune MAM nicht unterstützen.

Verwandte Inhalte

• Wasserzeichen aktivieren, bei denen Administratoren die Sitzung anhand eines QR-Codes nachverfolgen können.

• Erfahren Sie, wie Sie Ihre Bereitstellung von Azure Virtual Desktop mit Sicherheitsempfehlungen für Azure Virtual Desktop schützen können.