Funktionen von Microsoft Defender for Endpoint unter iOS konfigurieren

Möchten Sie Defender for Endpoint ausprobieren? Registrieren Sie sich für eine Microsoft Defender for Endpoint kostenlose Testversion.

Bedingter Zugriff mit Defender für Endpunkt unter iOS

Microsoft Defender for Endpoint unter iOS zusammen mit Microsoft Intune und Microsoft Entra ID ermöglicht das Erzwingen von Richtlinien für Gerätekonformität und bedingten Zugriff basierend auf der Geräterisikobewertung. Defender für Endpunkt ist eine MTD-Lösung (Mobile Threat Defense), die Sie bereitstellen können, um diese Funktion über Intune zu verwenden.

Weitere Informationen zum Einrichten des bedingten Zugriffs mit Defender für Endpunkt unter iOS finden Sie unter Defender für Endpunkt und Intune.

Webschutz und VPN

Standardmäßig enthält und aktiviert Defender für Endpunkt unter iOS Webschutz, der dazu beiträgt, Geräte vor Webbedrohungen zu schützen und Benutzer vor Phishingangriffen zu schützen. Antiphishing und benutzerdefinierte Indikatoren (URL und Domäne) werden als Teil des Webschutzes unterstützt. IP-basierte benutzerdefinierte Indikatoren werden unter iOS derzeit nicht unterstützt. Die Webinhaltsfilterung wird derzeit auf mobilen Plattformen (Android und iOS) nicht unterstützt.

Defender für Endpunkt unter iOS verwendet ein VPN, um Webschutz bereitzustellen. Das VPN ist lokal, und im Gegensatz zum herkömmlichen VPN wird netzwerkdatenverkehr nicht außerhalb des Geräts gesendet.

Obwohl das Defender für das lokale ENDPUNKT-VPN standardmäßig aktiviert ist, kann es einige Fälle geben, in denen Sie es deaktivieren müssen. Wenn Sie beispielsweise Apps ausführen müssen, die nicht funktionieren, wenn ein VPN konfiguriert ist, können Sie die Defender für Endpunkt-VPN auf dem Gerät deaktivieren, indem Sie die folgenden Schritte ausführen:

1. Öffnen Sie auf Ihrem iOS-Gerät die App Einstellungen , wählen Sie Allgemein und dann VPN aus.

2. Wählen Sie die Schaltfläche i für Microsoft Defender for Endpoint aus.

3. Deaktivieren Sie „Bei Bedarf verbinden“, um das VPN zu deaktivieren.

   

Deaktivieren des Webschutzes

Der Webschutz ist eines der wichtigsten Features von Defender für Endpunkt und erfordert ein VPN zum Bereitstellen von Webschutz. Das verwendete VPN ist ein lokales/Loopback-VPN und kein herkömmliches VPN. Es gibt jedoch mehrere Gründe, warum Kunden das VPN möglicherweise nicht bevorzugen. Wenn Sie kein VPN einrichten möchten, können Sie den Webschutz deaktivieren und Defender für Endpunkt ohne Webschutz bereitstellen. Die anderen Funktionen von Defender for Endpoint funktionieren weiterhin.

Die Webschutzkonfiguration ist sowohl für registrierte Geräte (MDM) als auch für nicht registrierte (MAM)-Geräte verfügbar. Für Kunden mit MDM können Administratoren den Webschutz über verwaltete Geräte in der App-Konfiguration konfigurieren. Für Kunden ohne Registrierung können Administratoren mithilfe von MAM den Webschutz über verwaltete Apps in der App-Konfiguration konfigurieren.

Konfigurieren des Webschutzes

Deaktivieren des Webschutzes mithilfe von MDM

Führen Sie die folgenden Schritte aus, um den Webschutz für registrierte Geräte zu deaktivieren.

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen, Plattform > iOS/iPadOS.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie dann als Schlüssel hinzu WebProtection , und legen Sie den Werttyp auf fest String.

   • Standardmäßig WebProtection = true. Ein Administrator muss WebProtection = false festlegen, um den Webschutz zu deaktivieren.
   • Defender für Endpunkt sendet den Heartbeat immer dann an das Microsoft Defender-Portal, wenn ein Benutzer die App öffnet.
   • Wählen Sie Weiter aus, und weisen Sie dieses Profil den Zielgeräten/Benutzern zu.

Deaktivieren des Webschutzes mithilfe von MAM

Führen Sie die folgenden Schritte aus, um den Webschutz für nicht registrierte Geräte zu deaktivieren.

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Apps.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.

4. Fügen Sie auf der Seite Einstellungen unter Allgemeine Konfigurationseinstellungen als Schlüssel hinzu WebProtection , und legen Sie den Wert auf fest false.

   • Standardmäßig WebProtection = true. Ein Administrator kann festlegen WebProtection = false , dass der Webschutz deaktiviert wird.
   • Defender für Endpunkt sendet den Heartbeat immer dann an das Microsoft Defender-Portal, wenn ein Benutzer die App öffnet.
   • Wählen Sie Weiter aus, und weisen Sie dieses Profil den Zielgeräten/Benutzern zu.

Konfigurieren des Netzwerkschutzes

Der Netzwerkschutz in Microsoft Defender für Endpunkt ist standardmäßig aktiviert. Administratoren können die folgenden Schritte ausführen, um den Netzwerkschutz zu konfigurieren. Die Netzwerkschutzkonfiguration ist sowohl für registrierte Geräte über die MDM-Konfiguration als auch für nicht registrierte Geräte über die MAM-Konfiguration verfügbar.

Konfigurieren des Netzwerkschutzes mithilfe von MDM

Führen Sie die folgenden Schritte aus, um den Netzwerkschutz mithilfe der MDM-Konfiguration für registrierte Geräte einzurichten:

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Geräte.

2. Geben Sie den Namen und die Beschreibung für die Richtlinie an. Wählen Sie unter Plattformdie Option iOS/iPad aus.

3. Wählen Sie in der Ziel-App Microsoft Defender for Endpoint aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurationseinstellungsformat Konfigurations-Designer verwenden aus.

5. Fügen Sie als Konfigurationsschlüssel hinzu DefenderNetworkProtectionEnable . Legen Sie den Werttyp auf String fest, und legen Sie den Wert auf false fest, um den Netzwerkschutz zu deaktivieren. (Der Netzwerkschutz ist standardmäßig aktiviert.)

   

6. Fügen Sie für andere Konfigurationen im Zusammenhang mit dem Netzwerkschutz die folgenden Schlüssel hinzu, und wählen Sie den entsprechenden Werttyp und -wert aus.

   Schlüssel	Wertetyp	Standard (true = aktiviert, false = deaktiviert)	Beschreibung
   DefenderOpenNetworkDetection	Ganze Zahl	2	0 – Deaktivieren 1 – Überwachung 2 – Aktivieren (Standard) Diese Einstellung wird von einer IT-Admin verwaltet, um die Erkennung geöffneter Netzwerke zu überwachen, zu deaktivieren oder zu aktivieren. Im Überwachungsmodus werden Ereignisse nur an das Microsoft Defender-Portal gesendet, ohne Auswirkung auf die Endbenutzer. Legen Sie sie für die Endbenutzererfahrung auf Enable fest.
   DefenderEndUserTrustFlowEnable	Zeichenfolge	false	true – aktivieren false – deaktivieren Diese Einstellung wird von IT-Administratoren verwendet, um die In-App-Funktion für Endbenutzer zum Vertrauen oder Entziehen des Vertrauens in unsichere Netzwerke zu aktivieren oder zu deaktivieren.
   DefenderNetworkProtectionAutoRemediation	Zeichenfolge	true	true – aktivieren false – deaktivieren Diese Einstellung wird vom IT-Administrator verwendet, um die Wartungswarnungen zu aktivieren oder zu deaktivieren, die gesendet werden, wenn ein Benutzer Wartungsaktivitäten wie den Wechsel zu sichereren Wi-Fi Access Points ausführt. Diese Einstellung gilt nur für Warnungen und nicht für Ereignisse in der Gerätezeitleiste. Dies gilt also nicht für die Erkennung von offenen Wi-Fi.
   DefenderNetworkProtectionPrivacy	Zeichenfolge	true	true – aktivieren false – deaktivieren Diese Einstellung wird vom IT-Administrator verwaltet, um den Datenschutz im Netzwerkschutz zu aktivieren oder zu deaktivieren. Wenn die Privatsphäre deaktiviert ist, wird die Einwilligung des Nutzers zur Freigabe des bösartigen WLANs angezeigt. Wenn der Datenschutz aktiviert ist, wird keine Zustimmung des Benutzers angezeigt, und es werden keine App-Daten gesammelt.

7. Im Abschnitt Zuweisungen kann ein Administrator Gruppen von Benutzern auswählen, die ein- und aus der Richtlinie ausgeschlossen werden sollen.

8. Überprüfen und erstellen Sie die Konfigurationsrichtlinie.

Konfigurieren des Netzwerkschutzes mithilfe von MAM

Verwenden Sie das folgende Verfahren, um die MAM-Konfiguration für nicht registrierte Geräte für den Netzwerkschutz einzurichten (Authenticator-Geräteregistrierung ist für die MAM-Konfiguration erforderlich) auf iOS-Geräten.

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Verwaltete Apps>hinzufügen>Neue App-Konfigurationsrichtlinie erstellen.

   

2. Geben Sie einen Namen und eine Beschreibung an, um die Richtlinie eindeutig zu identifizieren. Wählen Sie dann Öffentliche Apps auswählen und Microsoft Defender für Plattform iOS/iPadOS aus.

   

3. Fügen Sie auf der Seite EinstellungenDefenderNetworkProtectionEnable als Schlüssel und den Wert als false hinzu, um den Netzwerkschutz zu deaktivieren. (Der Netzwerkschutz ist standardmäßig aktiviert.)

4. Fügen Sie für andere Konfigurationen im Zusammenhang mit dem Netzwerkschutz die folgenden Schlüssel und den entsprechenden Wert hinzu.

   Schlüssel	Standardwert (wahr – aktivieren, falsch – deaktivieren)	Beschreibung
   DefenderOpenNetworkDetection	2	0 – Deaktivieren 1 – Überwachung 2 – Aktivieren (Standard) Diese Einstellung wird von einem IT-Administrator verwaltet, um die Erkennung von offenen Netzwerken zu aktivieren, zu überwachen oder zu deaktivieren. Im Auditmodus werden Ereignisse nur an das ATP-Portal gesendet, ohne Auswirkungen für den Benutzer. Legen Sie für die Benutzererfahrung die Konfiguration auf den Modus "Aktivieren" fest.
   DefenderEndUserTrustFlowEnable	false	true – aktivieren false – deaktivieren Diese Einstellung wird von IT-Administratoren verwendet, um die In-App-Funktion für Endbenutzer zum Einstufen unsicherer Netzwerke als vertrauenswürdig oder nicht vertrauenswürdig zu aktivieren oder zu deaktivieren.
   DefenderNetworkProtectionAutoRemediation	true	true – aktivieren false – deaktivieren Diese Einstellung wird vom IT-Administrator verwendet, um die Wartungswarnungen zu aktivieren oder zu deaktivieren, die gesendet werden, wenn ein Benutzer Wartungsaktivitäten wie den Wechsel zu sichereren Wi-Fi Access Points ausführt. Diese Einstellung gilt nur für Warnungen und nicht für die Ereignisse auf der Zeitleiste des Geräts. Dies gilt also nicht für die Erkennung von offenen Wi-Fi.
   DefenderNetworkProtectionPrivacy	true	true – aktivieren false – deaktivieren Diese Einstellung wird vom IT-Administrator verwaltet, um den Datenschutz im Netzwerkschutz zu aktivieren oder zu deaktivieren. Wenn der Datenschutz deaktiviert ist, wird die Zustimmung des Benutzers zur Freigabe des schädlichen WLAN angezeigt. Wenn der Datenschutz aktiviert ist, wird keine Zustimmung des Benutzers angezeigt, und es werden keine App-Daten gesammelt.

5. Im Abschnitt Zuweisungen kann ein Administrator Gruppen von Benutzern auswählen, die ein- und aus der Richtlinie ausgeschlossen werden sollen.

   

6. Überprüfen und erstellen Sie die Konfigurationsrichtlinie.

Grundlegendes zur Koexistenz mehrerer VPN-Profile unter iOS

Apple iOS unterstützt nicht mehrere geräteweite VPNs, um gleichzeitig aktiv zu sein. Während mehrere VPN-Profile auf dem Gerät vorhanden sein können, kann jeweils nur ein VPN aktiv sein.

Konfigurieren des Microsoft Defender for Endpoint-Risikosignals in der App-Schutzrichtlinie (MAM)

Microsoft Defender for Endpoint unter iOS aktiviert das App-Schutzrichtlinienszenario (APP, auch als MAM bezeichnet). Endbenutzer können die neueste Version der App direkt aus dem Apple App Store installieren. Stellen Sie sicher, dass das Gerät bei Authenticator mit demselben Konto registriert ist, das auch für das Onboarding in Defender verwendet wird, damit die MAM-Registrierung erfolgreich durchgeführt werden kann.

Microsoft Defender for Endpoint kann so konfiguriert werden, dass Bedrohungssignale gesendet werden, die in App-Schutzrichtlinien (APP, auch als MAM bezeichnet) unter iOS/iPadOS verwendet werden. Mit dieser Funktion können Sie Microsoft Defender for Endpoint verwenden, um den Zugriff auf Unternehmensdaten auch von nicht registrierten Geräten zu schützen.

Informationen zum Einrichten von App-Schutzrichtlinien mit Microsoft Defender for Endpoint finden Sie unter "Konfigurieren Defender Risikosignale in der App-Schutzrichtlinie (MAM)".

Weitere Informationen zu MAM oder App-Schutzrichtlinie finden Sie unter Einstellungen für iOS-App-Schutzrichtlinien.

Kontrollmechanismen für den Datenschutz

Microsoft Defender for Endpoint unter iOS ermöglicht Datenschutzkontrollen sowohl für Administratoren als auch für Endbenutzer. Dies schließt die Steuerelemente für registrierte (MDM) und nicht registrierte (MAM)-Geräte ein.

Wenn Sie MDM verwenden, können Ihre Administratoren Datenschutzsteuerelemente über verwaltete Geräte in der App-Konfiguration konfigurieren. Wenn Sie MAM ohne Registrierung verwenden, können Ihre Administratoren Datenschutzsteuerelemente über verwaltete Apps in der App-Konfiguration konfigurieren. Endbenutzer können auch Datenschutzeinstellungen in Microsoft Defender App-Einstellungen konfigurieren.

Datenschutz im Phish Alert Report konfigurieren

Kunden können jetzt die Datenschutzkontrolle für den von Microsoft Defender for Endpoint unter iOS gesendeten Phish-Bericht aktivieren, sodass der Domänenname nicht als Teil einer Phish-Warnung enthalten ist, wenn eine Phish-Website erkannt und von Microsoft Defender for Endpoint blockiert wird.

Konfigurieren von Datenschutzsteuerelementen in MDM

Führen Sie die folgenden Schritte aus, um den Datenschutz zu aktivieren und den Domänennamen nicht als Teil des Phish-Warnungsberichts für registrierte Geräte zu erfassen.

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen( Plattform > iOS/iPadOS), und wählen Sie den Profiltyp aus.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu DefenderExcludeURLInReport , und legen Sie den Werttyp auf Boolean fest.

   • Um den Datenschutz zu aktivieren und den Domänennamen nicht zu erfassen, geben Sie den Wert als true ein, und weisen Sie diese Richtlinie Benutzern zu. Standardmäßig ist dieser Wert auf falsefestgelegt.
   • Für Benutzer, deren Schlüssel als truefestgelegt ist, enthält die Phish-Warnung keine Domänennameninformationen, wenn eine schädliche Website von Defender für Endpunkt erkannt und blockiert wird.

5. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten/Benutzern zu.

Konfigurieren von Datenschutzsteuerelementen in MAM

Führen Sie die folgenden Schritte aus, um den Datenschutz zu aktivieren und den Domänennamen nicht als Teil des Phish-Warnungsberichts für nicht registrierte Geräte zu erfassen.

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Apps.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.

4. Fügen Sie auf der Seite Einstellungen unter Allgemeine Konfigurationseinstellungen als Schlüssel hinzu DefenderExcludeURLInReport , und legen Sie den Wert auf truefest.

   • Um den Datenschutz zu aktivieren und den Domänennamen nicht zu erfassen, geben Sie den Wert als true ein, und weisen Sie diese Richtlinie Benutzern zu. Standardmäßig ist dieser Wert auf falsefestgelegt.
   • Für Benutzer, deren Schlüssel als truefestgelegt ist, enthält die Phish-Warnung keine Domänennameninformationen, wenn eine schädliche Website von Defender für Endpunkt erkannt und blockiert wird.

5. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten/Benutzern zu.

Konfigurieren von Datenschutzsteuerelementen für Endbenutzer in der Microsoft Defender-App

Die Datenschutzsteuerelemente für Endbenutzer in der Microsoft Defender-App helfen dem Endbenutzer, die für seine Organisation freigegebenen Informationen zu konfigurieren.

Für überwachte Geräte sind Endbenutzersteuerelemente nicht sichtbar. Ihr Administrator entscheidet und steuert die Einstellungen. Für nicht überwachte Geräte wird das Steuerelement jedoch unter Einstellungen > Datenschutz angezeigt.

Benutzern wird eine Umschaltfläche für Unsichere Websiteinformationen angezeigt. Dieser Umschalter ist nur sichtbar, wenn der Administrator festgelegt DefenderExcludeURLInReport = truehat.

Wenn dies von einem Administrator aktiviert ist, können Benutzer angeben, ob unsichere Websiteinformationen an ihre organization gesendet werden sollen. Standardmäßig ist sie auf falsefestgelegt, was bedeutet, dass unsichere Websiteinformationen nicht gesendet werden. Wenn der Benutzer ihn auf trueumschaltt, werden unsichere Websitedetails gesendet.

Das Aktivieren oder Deaktivieren von Datenschutzsteuerelementen wirkt sich nicht auf die Gerätekonformitätsprüfung oder den bedingten Zugriff aus.

Optionale Berechtigungen

Microsoft Defender for Endpoint unter iOS ermöglicht optionale Berechtigungen im Onboardingflow. Derzeit sind die von Defender for Endpoint erforderlichen Berechtigungen im Onboarding-Ablauf zwingend erforderlich. Mit optionalen VPN-Berechtigungen können Administratoren Defender für Endpunkt auf BYOD-Geräten bereitstellen, ohne die obligatorische VPN-Berechtigung während des Onboardings zu erzwingen. Endbenutzer können das Onboarding der App ohne die obligatorischen Berechtigungen durchführen und diese Berechtigungen später überprüfen. Dieses Feature ist derzeit nur für registrierte Geräte (MDM) verfügbar.

Konfigurieren optionaler Berechtigungen mithilfe von MDM

Administratoren können die folgenden Schritte ausführen, um die optionale VPN-Berechtigung für registrierte Geräte zu aktivieren.

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen, und wählen Sie Plattform > iOS/iPadOS aus.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu DefenderOptionalVPN , und legen Sie den Werttyp auf Booleanfest.

   • Um die optionale VPN-Berechtigung zu aktivieren, geben Sie wert als true ein, und weisen Sie diese Richtlinie benutzern zu. Standardmäßig ist dieser Wert auf falsefestgelegt.
   • Für Benutzer, deren Schlüssel als truefestgelegt ist, können die Benutzer die App integrieren, ohne die VPN-Berechtigung zu erteilen.

5. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten/Benutzern zu.

Konfigurieren optionaler Berechtigungen als Endbenutzer

Endbenutzer installieren und öffnen die Microsoft Defender-App, um mit dem Onboarding zu beginnen.

• Wenn ein Administrator optionale Berechtigungen eingerichtet hat, kann der Benutzer vpn-Berechtigung überspringen und das Onboarding abschließen.
• Selbst wenn der Benutzer VPN übersprungen hat, kann das Gerät das Onboarding durchführen, und es wird ein Heartbeat gesendet.
• Wenn VPN deaktiviert ist, ist der Webschutz nicht aktiv.
• Später kann der Benutzer den Webschutz innerhalb der App aktivieren, wodurch die VPN-Konfiguration auf dem Gerät installiert wird.

Jailbreak-Erkennung

Microsoft Defender for Endpoint kann nicht verwaltete und verwaltete Geräte mit Jailbreak erkennen. Diese Jailbreak-Überprüfungen werden in regelmäßigen Abständen durchgeführt. Wenn ein Gerät als Jailbroken erkannt wird, treten die folgenden Aktionen auf:

• Eine Warnung mit hohem Risiko wird an das Microsoft Defender-Portal gemeldet. Wenn gerätekonformität und bedingter Zugriff basierend auf der Geräterisikobewertung eingerichtet sind, wird der Zugriff auf Unternehmensdaten für das Gerät blockiert.
• Benutzerdaten in der App werden gelöscht. Wenn der Benutzer die App nach dem Jailbreak öffnet, wird auch das VPN-Profil (nur Defender für Endpunkt-Loopback-VPN-Profil) gelöscht, und es wird kein Webschutz angeboten. VPN-Profile, die von Intune bereitgestellt werden, werden nicht entfernt.

Konfigurieren der Konformitätsrichtlinie für Geräte mit Jailbreak

Um zu verhindern, dass auf iOS-Geräten mit Jailbreak auf Unternehmensdaten zugegriffen wird, wird empfohlen, die folgende Konformitätsrichtlinie auf Intune einzurichten.

Führen Sie die folgenden Schritte aus, um eine Compliancerichtlinie für Jailbroken-Geräte zu erstellen:

1. Gehen Sie im Microsoft Intune Admin Center zu Geräte>Konformitätsrichtlinien>Richtlinie erstellen. Wählen Sie "iOS/iPadOS" als Plattform und dann Erstellen aus.

   

2. Geben Sie einen Namen der Richtlinie an, z. B. Konformitätsrichtlinie für Jailbreak.

3. Erweitern Sie auf der Seite „Complianceeinstellungen“ den Abschnitt Geräteintegrität und wählen Sie Block im Feld Geräte mit Jailbreak aus.

   

4. Wählen Sie im Abschnitt Aktionen für Nichtkonformität die Aktionen gemäß Ihren Anforderungen aus, und wählen Sie dann Weiter aus.

   

5. Wählen Sie im Abschnitt Zuweisungen die Benutzergruppen aus, die Sie für diese Richtlinie einschließen möchten, und wählen Sie dann Weiter aus.

6. Überprüfen Sie im Abschnitt Überprüfen + erstellen , ob alle eingegebenen Informationen korrekt sind, und wählen Sie dann Erstellen aus.

Konfigurieren von benutzerdefinierten Indikatoren

Mit Defender für Endpunkt unter iOS können Administratoren auch benutzerdefinierte Indikatoren auf iOS-Geräten konfigurieren. Weitere Informationen zum Konfigurieren benutzerdefinierter Indikatoren finden Sie unter Übersicht über Indikatoren.

Konfigurieren der Sicherheitsrisikobewertung von Apps

Die Verringerung des Cyberrisikos erfordert ein umfassendes risikobasiertes Sicherheitsrisikomanagement, um alle Ihre größten Sicherheitsrisiken in Ihren kritischsten Ressourcen in einer einzigen Lösung zu identifizieren, zu bewerten, zu beheben und nachzuverfolgen. Weitere Informationen finden Sie unter Microsoft Defender Vulnerability Management.

Defender für Endpunkt unter iOS unterstützt Sicherheitsrisikobewertungen von Betriebssystemen und Apps. Die Sicherheitsrisikobewertung von iOS-Versionen ist sowohl für registrierte (MDM) als auch für nicht registrierte Geräte (MAM) verfügbar. Die Sicherheitsrisikobewertung von Apps gilt nur für registrierte Geräte (MDM). Administratoren können die folgenden Schritte ausführen, um die Sicherheitsrisikobewertung von Apps zu konfigurieren.

Auf einem überwachten Gerät

Führen Sie die folgenden Schritte aus, um die Sicherheitsrisikobewertung von Apps auf einem überwachten Gerät zu aktivieren:

1. Stellen Sie sicher, dass das Gerät im überwachten Modus konfiguriert ist.

2. Um das Feature im Microsoft Intune Admin Center zu aktivieren, wechseln Sie zu Endpunktsicherheit>Microsoft Defender for Endpoint>App-Synchronisierung für iOS-/iPadOS-Geräte aktivieren.

   

Auf einem nicht überwachten Gerät

Führen Sie die folgenden Schritte aus, um die Sicherheitsrisikobewertung von Apps auf einem nicht überwachten Gerät zu aktivieren:

1. Um das Feature im Microsoft Intune Admin Center zu aktivieren, wechseln Sie zu Endpunktsicherheit>Microsoft Defender for Endpoint>App-Synchronisierung für iOS-/iPadOS-Geräte aktivieren.

   

2. Um die Liste aller Apps einschließlich nicht verwalteter Apps abzurufen, aktivieren Sie die Umschaltfläche Vollständige Anwendungsinventurdaten auf persönlichen iOS-/iPadOS-Geräten senden.

   

3. Führen Sie die folgenden Schritte aus, um die Datenschutzeinstellung zu konfigurieren.

   1. Wechseln Sie zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Geräte.

   2. Geben Sie der Richtlinie einen Namen, Plattform>iOS/iPadOS.

   3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

   4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu DefenderTVMPrivacyMode . Legen Sie den Werttyp auf Stringfest.

      • Um den Datenschutz zu deaktivieren und die Liste der installierten Apps zu erfassen, geben Sie den Wert als Falsean, und weisen Sie diese Richtlinie dann Benutzern zu.
      • Standardmäßig ist dieser Wert für nicht überwachte Geräte auf True festgelegt.
      • Für Benutzer, deren Schlüssel als Falsefestgelegt ist, sendet Defender für Endpunkt die Liste der auf dem Gerät installierten Apps zur Sicherheitsrisikobewertung.

   5. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten/Benutzern zu.

   6. Das Aktivieren oder Deaktivieren der Datenschutzkontrollen wirkt sich nicht auf die Gerätekonformitätsprüfung oder den bedingten Zugriff aus.

4. Nachdem die Konfiguration angewendet wurde, müssen Endbenutzer die App öffnen, um die Datenschutzeinstellung zu genehmigen.

   • Der Bildschirm für die Genehmigung des Datenschutzes wird nur für nicht überwachte Geräte angezeigt.

   • Nur wenn der Endbenutzer den Datenschutz genehmigt, werden die App-Informationen an die Defender für Endpunkt-Konsole gesendet.

     

Sobald die Clientversionen auf iOS-Zielgeräten bereitgestellt wurden, wird die Verarbeitung gestartet. Auf diesen Geräten gefundene Sicherheitsrisiken werden im Defender Vulnerability Management Dashboard angezeigt. Die Verarbeitung kann einige Stunden (maximal 24 Stunden) dauern. Dieser Zeitrahmen gilt insbesondere für die gesamte Liste der Apps, die im Softwarebestand angezeigt werden.

Deaktivieren der Abmeldung

Defender für Endpunkt unter iOS unterstützt die Bereitstellung ohne Abmeldeschaltfläche in der App, um zu verhindern, dass sich Benutzer von der Defender-App abmelden. Dies ist wichtig, um zu verhindern, dass Benutzer das Gerät manipulieren.

Die Konfiguration zum Deaktivieren der Abmeldung ist sowohl für registrierte (MDM)-Geräte als auch für nicht registrierte (MAM)-Geräte verfügbar. Administratoren können die folgenden Schritte verwenden, um die Einstellung zum Deaktivieren der Abmeldung zu konfigurieren.

Konfigurieren der Deaktivierung der Abmeldung mithilfe von MDM

Führen Sie die folgenden Schritte aus, um die Abmeldung für registrierte Geräte zu deaktivieren.

Für registrierte Geräte (MDM)

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>Richtlinien für die App-Konfiguration>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen, und wählen Sie dann Plattform>iOS/iPadOS aus.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu DisableSignOut . Legen Sie den Werttyp auf Stringfest.

   • Standardmäßig DisableSignOut = false.
   • Ein Administrator kann festlegen DisableSignOut = true, dass die Abmeldeschaltfläche in der App deaktiviert wird. Benutzern wird die Abmeldeschaltfläche nicht angezeigt, nachdem die Richtlinie gepusht wurde.

5. Wählen Sie Weiter aus, und weisen Sie diese Richtlinie den Zielgeräten/Benutzern zu.

Konfigurieren der Deaktivierung der Abmeldung mithilfe von MAM

Führen Sie die folgenden Schritte aus, um die Abmeldung für nicht registrierte Geräte zu deaktivieren.

Für nicht registrierte Geräte (MAM)

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Apps.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie unter Öffentliche Apps auswählen die Option Microsoft Defender for Endpoint als Ziel-App aus.

4. Fügen Sie auf der Seite Einstellungen als Schlüssel hinzu DisableSignOut , und legen Sie den Wert auf truefest.

   • Standardmäßig DisableSignOut = false.
   • Ein Administrator kann festlegen DisableSignOut = true, dass die Abmeldeschaltfläche in der App deaktiviert wird. Benutzern wird die Abmeldeschaltfläche nicht angezeigt, nachdem die Richtlinie gepusht wurde.

5. Wählen Sie Weiter aus, und weisen Sie diese Richtlinie den Zielgeräten/Benutzern zu.

Konfigurieren von Gerätetags unter iOS

Defender for Endpoint auf iOS ermöglicht die Massentagvergabe für mobile Geräte beim Onboarding, indem Administratoren Tags über Intune einrichten können. Administratoren können die Gerätetags in Intune mithilfe von Konfigurationsrichtlinien konfigurieren und auf die Geräte der Benutzer übertragen. Nachdem der Benutzer Defender installiert und aktiviert hat, übergibt die Client-App die Gerätetags an das Microsoft Defender-Portal. Die Gerätetags werden im Gerätebestand neben den Geräten angezeigt.

Die Gerätetagkonfiguration ist sowohl für registrierte Geräte (MDM) als auch für nicht registrierte (MAM)-Geräte verfügbar. Administratoren können die folgenden Schritte zum Konfigurieren von Gerätetags verwenden.

Konfigurieren von Gerätetags mithilfe von MDM

Führen Sie die folgenden Schritte aus, um Gerätetags für registrierte Geräte zu konfigurieren.

Für registrierte Geräte (MDM)

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>Richtlinien für die App-Konfiguration>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen, und wählen Sie dann Plattform>iOS/iPadOS aus.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu DefenderDeviceTag . Legen Sie den Werttyp auf Stringfest.

   • Ein Administrator kann ein neues Tag zuweisen, indem er den Schlüssel DefenderDeviceTag hinzufügt und einen Wert für das Gerätetag festlegt.
   • Ein Administrator kann ein vorhandenes Tag bearbeiten, indem er den Wert des Schlüssels DefenderDeviceTagändert.
   • Ein Administrator kann ein vorhandenes Tag löschen, indem er den Schlüssel DefenderDeviceTagentfernt.

5. Wählen Sie Weiter aus, und weisen Sie diese Richtlinie den Zielgeräten/Benutzern zu.

Konfigurieren von Gerätetags mithilfe von MAM

Führen Sie die folgenden Schritte aus, um Gerätetags für nicht registrierte Geräte zu konfigurieren.

Für nicht registrierte Geräte (MAM)

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Apps.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.

4. Fügen Sie auf der Seite Einstellungen als Schlüssel hinzu DefenderDeviceTag (unter Allgemeine Konfigurationseinstellungen).

   • Ein Administrator kann ein neues Tag zuweisen, indem er den Schlüssel DefenderDeviceTag hinzufügt und einen Wert für das Gerätetag festlegt.
   • Ein Administrator kann ein vorhandenes Tag bearbeiten, indem er den Wert des Schlüssels DefenderDeviceTagändert.
   • Ein Administrator kann ein vorhandenes Tag löschen, indem er den Schlüssel DefenderDeviceTagentfernt.

5. Wählen Sie Weiter aus, und weisen Sie diese Richtlinie den Zielgeräten/Benutzern zu.

Unterdrücken von Betriebssystemupdatebenachrichtigungen

Kunden können in Defender für Endpunkt unter iOS eine Konfiguration verwenden, um Benachrichtigungen über Betriebssystemupdates zu unterdrücken. Nachdem der Konfigurationsschlüssel in den Intune App-Konfigurationsrichtlinien festgelegt wurde, sendet Defender für Endpunkt keine Benachrichtigungen für Betriebssystemupdates auf dem Gerät. Wenn Sie jedoch die Microsoft Defender-App öffnen, wird die Karte Device Health angezeigt und zeigt den Zustand Ihres Betriebssystems an.

Die Konfiguration der Unterdrückung von Betriebssystemupdatebenachrichtigungen ist sowohl für registrierte Geräte (MDM) als auch für nicht registrierte (MAM)-Geräte verfügbar. Administratoren können die folgenden Schritte ausführen, um Updatebenachrichtigungen für das Betriebssystem zu unterdrücken.

Konfigurieren von Betriebssystemupdatebenachrichtigungen mithilfe von MDM

Führen Sie die folgenden Schritte aus, um Updatebenachrichtigungen für registrierte Geräte zu unterdrücken.

Für registrierte Geräte (MDM)

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>Richtlinien für die App-Konfiguration>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen, und wählen Sie Plattform>iOS/iPadOS aus.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu SuppressOSUpdateNotification . Legen Sie den Werttyp auf Stringfest.

   • Standardmäßig SuppressOSUpdateNotification = false.
   • Ein Administrator kann festlegen SuppressOSUpdateNotification = true , dass die Betriebssystemupdatebenachrichtigungen unterdrückt werden.
   • Wählen Sie Weiter aus, und weisen Sie diese Richtlinie Zielgeräten/Benutzern zu.

Konfigurieren von Betriebssystemupdatebenachrichtigungen mithilfe von MAM

Führen Sie die folgenden Schritte aus, um Updatebenachrichtigungen für nicht registrierte Geräte zu unterdrücken.

Für nicht registrierte Geräte (MAM)

1. Navigieren Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Apps.

2. Geben Sie der Richtlinie einen Namen.

3. Wählen Sie unter Öffentliche Apps auswählenMicrosoft Defender for Endpoint als Ziel-App aus.

4. Fügen Sie auf der Seite Einstellungen als Schlüssel hinzu SuppressOSUpdateNotification (unter Allgemeine Konfigurationseinstellungen).

   • Standardmäßig SuppressOSUpdateNotification = false.
   • Ein Administrator kann festlegen SuppressOSUpdateNotification = true , dass die Betriebssystemupdatebenachrichtigungen unterdrückt werden.

5. Wählen Sie Weiter aus, und weisen Sie diese Richtlinie Zielgeräten/Benutzern zu.

Konfigurieren der Option zum Senden von In-App-Feedback

Kunden haben jetzt die Möglichkeit, die Möglichkeit zu konfigurieren, Feedbackdaten innerhalb der Defender für Endpunkt-App an Microsoft zu senden. Feedbackdaten helfen Microsoft dabei, Produkte zu verbessern und Probleme zu beheben.

Gehen Sie wie folgt vor, um die Option zum Senden von Feedbackdaten an Microsoft zu konfigurieren:

1. Wechseln Sie im Microsoft Intune Admin Center zu Apps>App-Konfigurationsrichtlinien>Hinzufügen>Verwaltete Geräte.

2. Geben Sie der Richtlinie einen Namen, und wählen Sie Plattform > iOS/iPadOS als Profiltyp aus.

3. Wählen Sie Microsoft Defender for Endpoint als Ziel-App aus.

4. Wählen Sie auf der Seite Einstellungen die Option Konfigurations-Designer verwenden aus, und fügen Sie als Schlüssel hinzu DefenderFeedbackData , und legen Sie den Werttyp auf Booleanfest.

   • Um die Möglichkeit von Endbenutzern zu entfernen, Feedback zu geben, legen Sie den Wert auf false fest, und weisen Sie diese Richtlinie benutzern zu. Standardmäßig ist dieser Wert auf truefestgelegt. Für US Government-Kunden ist der Standardwert auf "false" festgelegt.
   • Für Benutzer, deren Schlüssel als truefestgelegt ist, gibt es eine Option zum Senden von Feedbackdaten an Microsoft innerhalb der App (Menühilfe>& Feedback>an Microsoft senden).

5. Wählen Sie Weiter aus, und weisen Sie dieses Profil Zielgeräten/Benutzern zu.

Melden unsicherer Websites

Phishing-Websites geben sich als vertrauenswürdige Websites an, indem sie Ihre persönlichen oder finanziellen Informationen erhalten. Besuchen Sie die Seite Feedback zum Netzwerkschutz geben, um eine Website zu melden, bei der es sich um eine Phishing-Website handeln könnte.

Verwandte Inhalte

• Microsoft Defender for Endpoint unter iOS

• Konfigurieren von dynamischen Vorschauringen für Microsoft Defender auf Mobilgeräten