Aktivieren von Win32-Apps auf Geräten im S-Modus

Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Der Windows-S-Modus ist ein gesperrtes Betriebssystem, das nur Store-Apps ausführt. Standardmäßig erlauben Geräte im Windows S-Modus die Installation und Ausführung von Win32-Apps nicht. Diese Geräte enthalten eine einzelne Win 10S-Basisrichtlinie, die das S-Modus-Gerät für die Ausführung von Win32-Apps sperrt. Wenn Sie jedoch eine S-Modus-Zusatzrichtlinie in Intune erstellen und verwenden, können Sie Win32-Apps auf verwalteten Geräten mit Windows S-Modus installieren und ausführen. Mithilfe der PowerShell-Tools von Microsoft Defender Application Control (WDAC) können Sie eine oder mehrere ergänzende Richtlinien für den Windows S-Modus erstellen. Sie müssen die Ergänzungsrichtlinien mit dem Device Guard Signing Service (DGSS) oder mit SignTool.exe signieren und dann die Richtlinien über Intune hochladen und verteilen. Alternativ können Sie die Ergänzungsrichtlinien mit einem Codesigning-Zertifikat Ihrer Organization signieren. Die bevorzugte Methode ist jedoch die Verwendung von DGSS. In der instance, in der Sie das Codesigningzertifikat aus Ihrer organization verwenden, muss das Stammzertifikat, mit dem das Codesigningzertifikat verkettet ist, auf dem Gerät vorhanden sein.

Durch Zuweisen der S-Modus-Nachtragsrichtlinie in Intune ermöglichen Sie dem Gerät, eine Ausnahme von der vorhandenen S-Modus-Richtlinie des Geräts zu machen, die den hochgeladenen entsprechenden signierten App-Katalog zulässt. Die Richtlinie legt eine Zulassungsliste von Apps (den App-Katalog) fest, die auf dem S-Modus-Gerät verwendet werden können.

Führen Sie die folgenden Schritte aus, um zuzulassen, dass Win32-Apps auf einem Windows-Gerät im S Modus ausgeführt werden:

1. Aktivieren Sie Geräte im S-Modus über Intune als Teil des Windows S-Registrierungsprozesses.
2. Erstellen Sie eine ergänzende Richtlinie, um Win32-Apps zuzulassen:
   • Sie können die Tools der Microsoft Defender Anwendungssteuerung (Microsoft Defender, WDAC) verwenden, um eine ergänzende Richtlinie zu erstellen. Die ID der Basisrichtlinie in der Richtlinie muss mit der ID der S-Modus-Basisrichtlinie übereinstimmen (die auf dem Client hartcodiert ist). Stellen Sie außerdem sicher, dass die Richtlinienversion höher als die vorherige Version ist.
   • Sie verwenden DGSS, um Ihre Ergänzungsrichtlinie zu signieren. Weitere Informationen finden Sie unter Signieren von Codeintegritätsrichtlinien mit der Device Guard-Signatur.
   • Sie laden die signierte Ergänzungsrichtlinie in Intune hoch, indem Sie eine ergänzende Richtlinie für den Windows 10 S-Modus erstellen (siehe unten).
3. Sie lassen Win32-App-Kataloge über Intune zu:
   • Sie erstellen Katalogdateien (eine für jede App) und signieren sie mithilfe von DGSS oder einer anderen Zertifikatinfrastruktur.
   • Zum Verpacken des signierten Katalogs in die DTUNEWIN-Datei mithilfe des Microsoft Win32-Tools zur Inhaltsvorbereitung. Beim Erstellen einer Katalogdatei mit dem Microsoft Win32-Tool zur Inhaltsvorbereitung gibt es keine Namenseinschränkungen. Wenn Sie die DTUNEWIN-Datei aus dem angegebenen Quellordner und der Setupdatei generieren, können Sie einen separaten Ordner bereitstellen, der nur Katalogdateien enthält, indem Sie die Option -a cmdline verwenden. Weitere Informationen finden Sie unter Win32-App-Verwaltung – Vorbereiten des Win32-App-Inhalts für den Upload.
   • Intune wendet den signierten App-Katalog an, um die Win32-App auf dem S-Modus-Gerät mithilfe der Intune Management Extension zu installieren.

Führen Sie die folgenden Schritte aus, um eine Windows S-Modus-Zusatzrichtlinie zu erstellen:

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Apps> auswählenS-Modus Ergänzende Richtlinien>Richtlinie erstellen.

3. Bevor Sie die Richtliniendatei hinzufügen, müssen Sie sie erstellen und signieren. Weitere Informationen finden Sie unter:

   • Erstellen einer WDAC-Richtlinie mithilfe von PowerShell-Tools und Konvertieren in ein Binärformat
   • Anmelden mit Device Guard-Signaturdienst(empfohlen)

4. Fügen Sie auf der Seite Basics (Grundeinstellungen) die folgenden Werte hinzu:

   Wert	Beschreibung
   Richtliniendatei	Die Datei, die die WDAC-Richtlinie enthält.
   Name	Der Name dieser Richtlinie.
   Beschreibung	[Optional] Die Beschreibung dieser Richtlinie.

5. Wählen Sie "Weiter": Tags festlegen.
   Auf der Seite "Bereichstags" können Sie optional Bereichstags konfigurieren, um zu bestimmen, wer die App-Richtlinie in Intune anzeigen kann. Weitere Informationen zu Bereichsmarkierungen finden Sie unter Use role-based access control and scope tags for distributed IT (Verwenden der rollenbasierten Zugriffssteuerung und von Bereichsmarkierungen für verteilte IT).

6. Wählen Sie Weiter: Aufgabenaus.
   Auf der Seite "Zuweisungen" können Sie die Richtlinie Benutzern und Geräten zuweisen. Es ist wichtig zu beachten, dass Sie einem Gerät eine Richtlinie zuweisen können, unabhängig davon, ob das Gerät von Intune verwaltet wird oder nicht.

7. Wählen Sie "Weiter: Überprüfen + erstellen " aus, um die Werte zu überprüfen, die Sie für das Profil eingegeben haben.

8. Wenn Sie fertig sind, wählen Sie "Erstellen" aus, um die S-Modus-Zusatzrichtlinie in Intune zu erstellen.

Sobald die Richtlinie erstellt wurde, wird sie der Liste der ergänzenden Richtlinien für den S-Modus in Intune hinzugefügt. Sobald die Richtlinie zugewiesen ist, wird sie auf den Geräten bereitgestellt. Beachten Sie, dass Sie die App in derselben Sicherheitsgruppe wie die ergänzende Richtlinie bereitstellen müssen. Sie können damit beginnen, Apps auf diese Geräte auszurichten und ihnen zuzuweisen. Dadurch können Ihre Endbenutzer die Apps auf den Geräten im S Modus installieren und ausführen.

Entfernen der S-Modus-Richtlinie

Um die S-Modus-Zusatzrichtlinie vom Gerät zu entfernen, müssen Sie derzeit eine leere Richtlinie zuweisen und bereitstellen, um die vorhandene S-Modus-Zusatzrichtlinie zu überschreiben.

Policy Reporting

Die auf Geräteebene erzwungene S-Modus-Zusatzrichtlinie umfasst nur Berichte auf Geräteebene. Berichte auf Geräteebene sind für Erfolgs- und Fehlerbedingungen verfügbar.

Berichtswerte, die im Microsoft Intune Admin Center für Berichtsrichtlinien für den S-Modus angezeigt werden:

• Erfolg: Die S-Modus-Zusatzrichtlinie ist in Kraft.
• Unbekannt: Der Status der S-Modus-Zusatzrichtlinie ist nicht bekannt.
• TokenError: Die S-Modus-Zusatzrichtlinie ist strukturell in Ordnung, aber es gibt einen Fehler beim Autorisieren des Tokens.
• NotAuthorizedByToken: Das Token autorisiert diese S-Modus-Zusatzrichtlinie nicht.
• PolicyNotFound: Die S-Modus-Zusatzrichtlinie wurde nicht gefunden.

Nächste Schritte

• Weitere Informationen finden Sie unter Win32-Apps im S-Modus.
• Weitere Informationen zum Hinzufügen von Apps zu Intune finden Sie unter Hinzufügen von Apps zu Microsoft Intune.
• Weitere Informationen zu Win32-Apps finden Sie unter Verwaltung von Intune Win32-Apps.