Konfigurieren von Android-Risikosignalen in Microsoft Defender for Endpoint mithilfe von App-Schutzrichtlinien (MAM)

Microsoft Defender for Endpoint unter Android, das unternehmensweite Benutzer bereits in Mdm-Szenarien (Mobile Geräteverwaltung) schützt, erweitert jetzt die Unterstützung für Mobile App Management (MAM) für Geräte, die nicht mit Intune mobiler Geräteverwaltung (Mobile Geräteverwaltung, MDM) registriert sind. Darüber hinaus erweitert es MAM-Support auf Kunden, die andere Enterprise Mobility Management-Lösungen verwenden, während sie weiterhin Intune für die verwaltung mobiler Anwendungen (Mobile Application Management, MAM) verwenden. Microsoft Defender for Endpoint Unterstützung für MAM ermöglicht es Ihnen, die Daten Ihrer Organisation innerhalb einer Anwendung zu verwalten und zu schützen.

Bedrohungsinformationen von Microsoft Defender for Endpoint auf Android werden von App-Schutzrichtlinien von Intune verwendet, um diese Apps zu schützen. App-Schutzrichtlinien sind Regeln, die sicherstellen, dass die Daten einer Organisation in einer verwalteten App jederzeit sicher sind und dort verbleiben. Für eine verwaltete Anwendung gelten App-Schutzrichtlinien und können von Intune verwaltet werden.

Microsoft Defender for Endpoint unter Android unterstützt beide MAM-Konfigurationen: Intune MDM + MAM und MAM ohne Geräteregistrierung.

• Intune MDM + MAM: IT-Administratoren können Apps nur mithilfe von App-Schutzrichtlinien auf Geräten verwalten, die mit Intune Mobile Device Management (MDM) registriert sind.
• MAM ohne Geräteregistrierung: MAM ohne Geräteregistrierung oder MAM-WE ermöglicht IT-Administratoren das Verwalten von Apps mithilfe von App-Schutzrichtlinien auf Geräten, die nicht bei Intune MDM registriert sind. MAM ohne Geräteregistrierung bedeutet, dass Apps von Intune auf Geräten verwaltet werden können, die bei EMM-Anbietern von Drittanbietern registriert sind. Um Apps in Intune MDM + MAM und MAM ohne Geräteregistrierung zu verwalten, sollten Kunden Intune im Microsoft Intune Admin Center verwenden.

Um Microsoft Defender for Endpoint Unterstützung für Android MAM zu aktivieren, muss ein Administrator die Verbindung zwischen Microsoft Defender for Endpoint und Intune konfigurieren, die App-Schutzrichtlinie erstellen und die Richtlinie auf zielorientierte Geräte und Anwendungen anwenden.

Endbenutzer müssen außerdem Schritte ausführen, um Microsoft Defender for Endpoint auf ihrem Gerät zu installieren und den Onboardingflow zu aktivieren.

Administratorvoraussetzungen

Bevor Sie beginnen, führen Sie die folgenden Konfigurationsschritte aus, um Microsoft Defender for Endpoint mit Intune zu verbinden und App-Schutzrichtlinien zu erstellen.

• Vergewissern Sie sich, dass der Microsoft Defender for Endpoint-Intune Connector aktiviert ist.

  1. Wechseln Sie zu security.microsoft.com.

  2. Stellen Sie sicher, dass Einstellungen>Endpunkte>Erweiterte Funktionen>Microsoft Intune-Verbindung aktiviert ist.

  3. Wenn die Verbindung nicht aktiviert ist, wählen Sie die Umschaltfläche aus, um sie zu aktivieren, und wählen Sie dann Einstellungen speichern aus.

     

  4. Wechseln Sie zum Microsoft Intune Admin Center, und überprüfen Sie, ob Microsoft Defender für Endpoint-Intune Connector aktiviert ist.

     

• Aktivieren Sie Microsoft Defender for Endpoint auf Android Connector für App-Schutzrichtlinien (APP).

  Konfigurieren Sie den Connector in Microsoft Intune für App-Schutzrichtlinien:

  1. Wechseln Sie zu Mandantenverwaltung > Konnektoren und Token > Microsoft Defender for Endpoint.

  2. Aktivieren Sie die Umschaltfläche für die App-Schutzrichtlinie für Android.

  3. Klicken Sie auf Speichern.

     

• Erstellen Sie eine App-Schutzrichtlinie.

  Blockieren Sie den Zugriff auf eine verwaltete App oder löschen Sie deren Daten anhand von Risikosignalen von Microsoft Defender for Endpoint, indem Sie eine App-Schutzrichtlinie erstellen.

  Microsoft Defender for Endpoint kann so konfiguriert werden, dass Bedrohungssignale gesendet werden, die in App-Schutzrichtlinien (APP, auch als MAM bezeichnet) verwendet werden. Mit Microsoft Defender for Endpoint Bedrohungssignalen in App-Schutzrichtlinien können Sie Microsoft Defender for Endpoint verwenden, um verwaltete Apps zu schützen.

  1. Erstellen Sie eine Richtlinie.

     App-Schutzrichtlinien sind Regeln, die sicherstellen, dass die Daten einer Organisation in einer verwalteten App jederzeit sicher sind und dort verbleiben. Eine Richtlinie kann eine Regel sein, die erzwungen wird, wenn ein Benutzer versucht, auf „unternehmenseigene“ Daten zuzugreifen oder diese zu verschieben. Es kann sich auch um eine Reihe von Aktionen handeln, die nicht zulässig sind oder überwacht werden, wenn sich ein Benutzer in der App befindet.

     

  2. Fügen Sie Apps hinzu.

     1. Wählen Sie aus, wie Sie diese Richtlinie auf Apps auf verschiedenen Geräten anwenden möchten. Fügen Sie dann mindestens eine App hinzu.

        Verwenden Sie diese Option, um anzugeben, ob diese Richtlinie für nicht verwaltete Geräte gilt. In Android können Sie angeben, dass die Richtlinie für Android Enterprise, Device Admin oder Nicht verwaltete Geräte gilt. Sie können ihre Richtlinie auch auf Apps auf Geräten mit einem beliebigen Verwaltungsstatus ausrichten.

        Da MAM ohne Geräteregistrierung keine Geräteverwaltung erfordert, können Organisationen Unternehmensdaten sowohl auf verwalteten als auch auf nicht verwalteten Geräten schützen. Bei der Verwaltung wird die Benutzeridentität in den Mittelpunkt gestellt, wodurch sich die Geräteverwaltung erübrigt. Unternehmen können Gleichzeitig App-Schutzrichtlinien mit oder ohne MDM verwenden. Betrachten Sie zum Beispiel einen Mitarbeiter, der sowohl ein vom Unternehmen bereitgestelltes Smartphone als auch sein eigenes privates Tablet nutzt. Das unternehmenseigene Smartphone wird in einer MDM registriert und von App-Schutzrichtlinien geschützt, während das private Gerät nur von App-Schutzrichtlinien geschützt wird.

     2. Wählen Sie Apps aus.

        Eine verwaltete App ist eine App, auf die App-Schutzrichtlinien angewendet wurden und die von Intune verwaltet werden kann. Jede App, die in das Intune SDK integriert oder vom Intune App Wrapping Tool umschlossen wurde, kann mithilfe Intune App-Schutzrichtlinien verwaltet werden. Sehen Sie sich die offizielle Liste der Microsoft Intune geschützten Apps an, die mit dem Intune SDK oder dem Intune App Wrapping Tool erstellt wurden und für die öffentliche Verwendung verfügbar sind.

        Beispiel: Outlook als verwaltete App

        

  3. Legen Sie Anmeldesicherheitsanforderungen für Ihre Schutzrichtlinie fest.

     Wählen Sie Einstellung > Maximal zulässige Gerätebedrohungsstufe in Gerätebedingungen aus und geben Sie einen Wert ein. Wählen Sie dann Aktion: "Zugriff blockieren" aus. Microsoft Defender for Endpoint auf Android übermittelt diese Bedrohungsstufe des Geräts.

     

• Weisen Sie Benutzergruppen zu, für die die Richtlinie angewendet werden muss.

  Wählen Sie Eingeschlossene Gruppen aus. Fügen Sie dann die relevanten Gruppen hinzu.

  

Voraussetzungen für Endbenutzer

Bevor Benutzer mit dem Onboarding beginnen, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Die Broker-App muss installiert sein.

  • Intune-Unternehmensportal

• Benutzer verfügen über die erforderlichen Lizenzen für die verwaltete App und haben die App installiert.

Endbenutzer-Einführung

1. Melden Sie sich bei einer verwalteten Anwendung an, z. B. Outlook. Das Gerät wird registriert, und die Anwendungsschutzrichtlinie wird mit dem Gerät synchronisiert. Die Anwendungsschutzrichtlinie erkennt den Integritätszustand des Geräts.

2. Wählen Sie Weiter. Es wird ein Bildschirm angezeigt, der das Herunterladen und Einrichten der app Microsoft Defender: Antivirus (Mobile) empfiehlt.

3. Klicken Sie auf Herunterladen. Sie werden zum App Store (Google Play) weitergeleitet.

4. Installieren Sie die app Microsoft Defender: Antivirus (Mobil), und kehren Sie zum Onboardingbildschirm für verwaltete Apps zurück.

   a.

5. Klicken Sie auf Weiter > Starten. Der Onboarding-/Aktivierungsflow für Microsoft Defender for Endpoint App wird initiiert. Führen Sie die Schritte aus, um das Onboarding abzuschließen. Sie werden automatisch zurück zum Onboardingbildschirm für verwaltete Apps weitergeleitet, der nun anzeigt, dass das Gerät fehlerfrei ist.

6. Wählen Sie Weiter aus, um sich bei der verwalteten Anwendung anzumelden.

Konfigurieren des Webschutzes

Defender für Endpunkt unter Android ermöglicht IT-Administratoren das Konfigurieren des Webschutzes. Webschutz ist im Microsoft Intune Admin Center verfügbar.

Webschutz unterstützt das Schützen von Geräten vor Bedrohungen im Web und schützt Benutzer vor Phishingangriffen. Beachten Sie, dass Antiphishing und benutzerdefinierte Indikatoren (URL und IP-Adressen) als Teil des Webschutzes unterstützt werden. Die Filterung von Webinhalten wird derzeit auf mobilen Plattformen nicht unterstützt.

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps > App-Konfigurationsrichtlinien > Verwaltete Apps hinzufügen>.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.

4. Fügen Sie auf der Seite Einstellungen unter Allgemeine Konfigurationseinstellungen die folgenden Schlüssel hinzu, und legen Sie deren Wert nach Bedarf fest.

   • Antiphishing
   • Vpn

   Um den Webschutz zu deaktivieren, geben Sie 0 als Antiphishing- und VPN-Werte ein.

   Um nur die Verwendung von VPN durch Webschutz zu deaktivieren, geben Sie die folgenden Werte ein:

   • 0 für VPN
   • 1 für Antiphishing

   Fügen Sie den Schlüssel DefenderMAMConfigs hinzu, und legen Sie den Wert auf 1 fest. Standardmäßig ist dieser Schlüssel nicht festgelegt. In diesem Fall wendet das System die Standardwerte für alle Funktionskonfigurationen an.

5. Weisen Sie diese Richtlinie Benutzern zu.

6. Überprüfen und erstellen Sie die Richtlinie.

Konfigurieren des Netzwerkschutzes

Führen Sie die folgenden Schritte aus, um den Netzwerkschutz in Intune zu konfigurieren:

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien. Erstellen Sie eine neue App-Konfigurationsrichtlinie. Klicken Sie auf Verwaltete Apps.

2. Geben Sie einen Namen und eine Beschreibung an, um die Richtlinie eindeutig zu identifizieren. Legen Sie die Richtlinie auf "Ausgewählte Apps" fest, und suchen Sie nach "Microsoft Defender Endpunkt für Android". Klicken Sie auf den Eintrag und dann auf Auswählen und anschließend auf Weiter.

3. Fügen Sie den Schlüssel und den Wert aus der folgenden Tabelle hinzu. Stellen Sie sicher, dass der Schlüssel "DefenderMAMConfigs" in jeder Richtlinie vorhanden ist, die Sie mithilfe der Route für verwaltete Apps erstellen. Für die Route "Verwaltete Geräte" sollte dieser Schlüssel nicht vorhanden sein. Wenn Sie fertig sind, klicken Sie auf Weiter.

   Schlüssel	Wertetyp	Standardwert (1 = aktivieren, 0 = deaktivieren)	Beschreibung
   DefenderNetworkProtectionEnable	Ganzzahl	1	0 – Deaktivieren 1 – Aktivieren Die DefenderNetworkProtectionEnable-Einstellung wird von IT-Administratoren verwendet, um Netzwerkschutzfunktionen in der Defender-App zu aktivieren oder zu deaktivieren.
   DefenderAllowlistedCACertificates	Zeichenfolge	Keine	Keine – Deaktivieren Die Einstellung DefenderAllowlistedCACertificates wird von IT-Administratoren verwendet, um Vertrauen für Stammzertifizierungsstellen und selbstsignierte Zertifikate herzustellen.
   DefenderCertificateDetection	Ganzzahl	0	0 – Deaktivieren 1– Überwachungsmodus 2 – Aktivieren Wenn dieses Feature mit dem Wert 2 aktiviert ist, werden Endbenutzerbenachrichtigungen an den Benutzer gesendet, wenn Defender ein ungültiges Zertifikat erkennt. Warnungen werden auch an SOC-Administratoren gesendet. Im Überwachungsmodus (1) werden Benachrichtigungswarnungen an SOC-Administratoren gesendet, aber dem Benutzer werden keine Endbenutzerbenachrichtigungen angezeigt, wenn Defender ein ungültiges Zertifikat erkennt. Administratoren können diese Erkennung mit 0 als Wert deaktivieren und vollständige Funktionen aktivieren, indem sie 2 als Wert festlegen.
   DefenderOpenNetworkDetection	Ganzzahl	2	0 – Deaktivieren 1– Überwachungsmodus 2 – Aktivieren Die DefenderOpenNetworkDetection-Einstellung wird von IT-Administratoren verwendet, um die Offene Netzwerkerkennung zu aktivieren oder zu deaktivieren. Wenn sie in den Überwachungsmodus mit dem Wert 1 gewechselt ist, wird eine Benachrichtigung an den SOC-Administrator gesendet, aber es wird keine Endbenutzerbenachrichtigung für den Benutzer angezeigt, wenn Defender ein geöffnetes Netzwerk erkennt. Wenn es mit dem Wert 2 aktiviert ist, wird eine Endbenutzerbenachrichtigung angezeigt, und es werden auch Warnungen an SOC-Administratoren gesendet.
   DefenderEndUserTrustFlowEnable	Ganzzahl	0	0 – Deaktivieren 1 – Aktivieren Die Einstellung DefenderEndUserTrustFlowEnable wird von IT-Administratoren verwendet, um die In-App-Benutzererfahrung für vertrauenswürdige oder nicht vertrauenswürdige Netzwerke und böswillige Zertifikate zu aktivieren oder zu deaktivieren.
   DefenderNetworkProtectionAutoRemediation	Ganzzahl	1	0 – Deaktivieren 1 – Aktivieren Die DefenderNetworkProtectionAutoRemediation-Einstellung wird von IT-Administratoren verwendet, um Wartungswarnungen zu aktivieren oder zu deaktivieren, die gesendet werden, wenn ein Benutzer Wartungsaktivitäten durchführt, z. B. um zu sichereren Wi-Fi Zugriffspunkten zu wechseln oder verdächtige Zertifikate zu löschen, die von Defender erkannt wurden.
   DefenderNetworkProtectionPrivacy	Ganzzahl	1	0 – Deaktivieren 1 – Aktivieren Die DefenderNetworkProtectionPrivacy-Einstellung wird von IT-Administratoren verwendet, um den Datenschutz im Netzwerkschutz zu aktivieren oder zu deaktivieren. Wenn der Datenschutz mit dem Wert 0 deaktiviert ist, wird die Zustimmung des Benutzers angezeigt, um die schädlichen WLAN- oder Zertifikatdaten zu teilen. Wenn sie sich im aktivierten Zustand mit dem Wert 1 befindet, wird keine Benutzereinwilligung angezeigt, und es werden keine App-Daten gesammelt.

4. Schließen Sie die Gruppen ein, auf die die Richtlinie angewendet werden soll, oder schließen Sie sie aus. Fahren Sie mit der Überprüfung und Übermittlung der Richtlinie fort.

Konfigurieren von Datenschutzsteuerelementen

Administratoren können die folgenden Schritte ausführen, um den Datenschutz zu aktivieren und nicht den Domänennamen, App-Details und Netzwerkinformationen als Teil des Warnungsberichts für entsprechende Bedrohungen zu sammeln.

1. Wechseln Sie Microsoft Intune Admin Center zu Apps > App-Konfigurationsrichtlinien > Verwaltete Apps hinzufügen>.
2. Geben Sie der Richtlinie einen Namen.
3. Wählen Sie unter „Öffentliche Apps auswählen“ Microsoft Defender for Endpoint als Ziel-App aus.
4. Fügen Sie auf der Seite Einstellungen unter Allgemeine Konfigurationseinstellungen DefenderExcludeURLInReport und DefenderExcludeAppInReport als Schlüssel und Wert als 1 hinzu.
5. Fügen Sie den Schlüssel DefenderMAMConfigs hinzu, und legen Sie den Wert auf 1 fest.
6. Weisen Sie diese Richtlinie Benutzern zu.
7. Fügen Sie auf der Seite Einstellungen unter Allgemeine KonfigurationseinstellungenDefenderExcludeURLInReport, DefenderExcludeAppInReport als Schlüssel und den Wert true hinzu.
8. Fügen Sie den Schlüssel DefenderMAMConfigs hinzu, und legen Sie den Wert auf 1 fest.
9. Weisen Sie diese Richtlinie Benutzern zu. Standardmäßig ist dieser Wert auf false festgelegt.
10. Überprüfen und erstellen Sie die Richtlinie.

Konfigurieren von Nicht-APK-Dateiüberprüfungen

Über das Scannen von Android-Anwendungspaketen (APK-Dateien) hinaus kann Defender für Endpunkt unter Android nicht-APK-Dateien wie Dokumente, komprimierte Archive und Skripts scannen. Defender für Endpunkt respektiert Android-Profilgrenzen und kann nicht auf Dateien im persönlichen Profil des Benutzers zugreifen.

Erstellen Sie zum Aktivieren der Nicht-APK-Dateiüberprüfung eine Konfigurationsrichtlinie für verwaltete Apps . Die vollständige Vorgehensweise finden Sie unter Hinzufügen einer App-Konfigurationsrichtlinie für verwaltete Apps (wird in der Intune-Dokumentation auf einer neuen Registerkarte geöffnet). Verwenden Sie beim Erstellen der Richtlinie die folgenden Einstellungen:

• Registerkarte "Grundlagen": Konfigurieren der folgenden Einstellungen
  • Zielrichtlinie für: Überprüfen, ob ausgewählte Apps ausgewählt sind.
  • Öffentliche Apps: Wählen Sie öffentliche Apps aus, suchen Sie Microsoft Defender Endpunkt Android, und wählen Sie dann "Auswählen" aus.
• Registerkarte "Einstellungen": Konfigurieren Sie die folgenden Einstellungen im Abschnitt "Allgemeine Konfigurationseinstellungen":
  • Name: Geben Sie ein EnableNonAPKFileScan. Wert: Geben Sie 1 ein.
  • Name: Geben Sie ein DefenderMAMConfigs. Wert: Geben Sie 1 ein.

Optionale Berechtigungen

Microsoft Defender for Endpoint unter Android aktiviert optionale Berechtigungen im Onboardingflow. Derzeit sind die von MDE erforderlichen Berechtigungen im Onboardingflow obligatorisch. Mit diesem Feature kann der Administrator MDE auf Android-Geräten mit MAM-Richtlinien bereitstellen, ohne die obligatorischen VPN- und Barrierefreiheitsberechtigungen während des Onboardings zu erzwingen. Endbenutzer können das Onboarding der App ohne die obligatorischen Berechtigungen durchführen und diese Berechtigungen später überprüfen.

Konfigurieren optionaler Berechtigungen

Führen Sie die folgenden Schritte aus, um optionale Berechtigungen für Geräte zu aktivieren.

1. Wechseln Sie Microsoft Intune Admin Center zu Apps > App-Konfigurationsrichtlinien > Verwaltete Apps hinzufügen>.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie in öffentlichen Apps Microsoft Defender for Endpoint aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden und DefenderOptionalVPN oder DefenderOptionalAccessibility oder beides als Schlüssel aus.

5. Fügen Sie den Schlüssel DefenderMAMConfigs hinzu, und legen Sie den Wert auf 1 fest.

6. Um optionale Berechtigungen zu aktivieren, geben Sie den Wert als 1 ein , und weisen Sie diese Richtlinie Benutzern zu.

   Benutzer, deren Schlüssel auf 1 festgelegt ist, können die App integrieren, ohne diese Berechtigungen zu erteilen.

7. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden und DefenderOptionalVPN oder DefenderOptionalAccessibility oder beides als Schlüssel- und Werttyp als Boolescher Wert aus.

8. Fügen Sie den Schlüssel DefenderMAMConfigs hinzu, und legen Sie den Wert auf 1 fest.

9. Um optionale Berechtigungen zu aktivieren, geben Sie den Wert als true ein, und weisen Sie diese Richtlinie Benutzern zu.

   Für Benutzer, deren Schlüssel auf true festgelegt ist, können die Benutzer die App integrieren, ohne diese Berechtigungen zu erteilen.

10. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten/Benutzern zu.

Benutzerfluss für optionale Berechtigungen während des Onboardings

Benutzer können die App installieren und öffnen, um den Onboardingprozess zu starten.

1. Wenn ein Administrator über optionale Berechtigungen verfügt, können Benutzer die VPN- oder Barrierefreiheitsberechtigung oder beides überspringen und das Onboarding abschließen.

2. Selbst wenn der Benutzer diese Berechtigungen übersprungen hat, kann das Gerät das Onboarding durchführen, und ein Heartbeat wird gesendet.

3. Da Berechtigungen deaktiviert sind, ist der Webschutz nicht aktiv. Sie ist teilweise aktiv, wenn eine der Berechtigungen erteilt wird.

4. Später können Benutzer den Webschutz innerhalb der App aktivieren. Dadurch wird die VPN-Konfiguration auf dem Gerät installiert.

Deaktivieren der Abmeldung

Mit Defender for Endpoint können Sie die App bereitstellen und die Schaltfläche zum Abmelden deaktivieren. Durch ausblenden der Abmeldeschaltfläche werden Benutzer daran gehindert, sich von der Defender-App abzumelden. Das Ausblenden der Abmeldeschaltfläche hilft, Manipulationen am Gerät zu verhindern, wenn Defender for Endpoint nicht ausgeführt wird.

Führen Sie die folgenden Schritte aus, um die Option „Abmeldung deaktivieren“ zu konfigurieren:

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps > App-Konfigurationsrichtlinien > Verwaltete Apps hinzufügen>.
2. Geben Sie der Richtlinie einen Namen an.
3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.
4. Fügen Sie auf der Seite Einstellungen unter Allgemeine KonfigurationseinstellungenDisableSignOut als Schlüssel hinzu, und legen Sie den Wert auf 1 fest.
   • Standardmäßig ist „Abmelden deaktivieren“ = 0.
   • Der Admin muss „Disable Sign Out“ auf 1 setzen, um die Abmeldeschaltfläche in der App zu deaktivieren. Benutzer sehen die Abmeldeschaltfläche nicht mehr, sobald die Richtlinie auf das Gerät übertragen wird.
5. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten und Benutzern zu.

Konfigurieren von Gerätetags

Defender for Endpoint auf Android ermöglicht die Massenkennzeichnung mobiler Geräte beim Onboarding, indem Administratoren Tags über Intune einrichten können. Administratoren können die Gerätetags in Intune mithilfe von Konfigurationsrichtlinien konfigurieren und auf die Geräte der Benutzer übertragen. Nachdem der Benutzer Defender installiert und aktiviert hat, übergibt die Client-App die Gerätetags an das Sicherheitsportal. Die Geräte-Tags werden im Geräteinventar bei den Geräten angezeigt.

Führen Sie die folgenden Schritte aus, um die Gerätetags zu konfigurieren:

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps > App-Konfigurationsrichtlinien > Verwaltete Apps hinzufügen>.

2. Geben Sie der Richtlinie einen Namen an.

3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie DefenderDeviceTag als Schlüssel und Werttyp als Zeichenfolge hinzu.

   • Admin können ein neues Tag zuweisen, indem Sie den Schlüssel DefenderDeviceTag hinzufügen und einen Wert für das Gerätetag festlegen.
   • Admin können ein vorhandenes Tag bearbeiten, indem sie den Wert des Schlüssels DefenderDeviceTag ändern.
   • Admin können ein vorhandenes Tag löschen, indem sie den Schlüssel DefenderDeviceTag entfernen.

5. Klicken Sie auf Weiter, und weisen Sie diese Richtlinie Zielgeräten und Benutzern zu.

Onboarding für Endbenutzer deaktivieren

Defender for Endpoint auf Android ist im MAM-Modus standardmäßig aktiviert. Um zu verhindern, dass Endbenutzer Defender auf nicht registrierten Geräten herunterladen und einrichten, kann der DefenderMAMConfigs-Schlüssel auf 0 festgelegt werden, um das Onboarding zu blockieren. Führen Sie die folgenden Schritte aus, um das Onboarding zu deaktivieren:

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Apps.
2. Geben Sie der Richtlinie einen Namen.
3. Wählen Sie in öffentlichen Apps Microsoft Defender for Endpoint aus.
4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, fügen Sie den Schlüssel DefenderMAMConfigs hinzu, und legen Sie den Wert auf 0 fest.
5. Klicken Sie auf Weiter , und weisen Sie diese Richtlinie Zielgeräten und Benutzern zu.

Verwandte Inhalte

• Übersicht über Microsoft Defender for Endpoint für Android

• Konfigurieren von dynamischen Vorschauringen für Microsoft Defender auf Mobilgeräten

• Microsoft Intune: Bereitstellen und Konfigurieren von Microsoft Defender for Endpoint unter Android