Richtlinieneinstellungen für iOS-App-Schutz

In diesem Artikel werden die Einstellungen für App-Schutzrichtlinien für iOS-/iPadOS-Geräte beschrieben. Die beschriebenen Richtlinieneinstellungen können im Portal im Bereich Einstellungen für eine App-Schutzrichtlinie konfiguriert werden, wenn Sie eine neue Richtlinie erstellen.

Es gibt drei Kategorien von Richtlinieneinstellungen: Datenverschiebung, Zugriffsanforderungen und Bedingter Start. In diesem Artikel bezieht sich der Begriff "richtlinienverwaltete Apps " auf Apps, die mit App-Schutzrichtlinien konfiguriert sind.

Datenschutz

Datenübertragung

Setting Anleitung Standardwert
Organisationsdaten in iTunes und iCloud sichern Klicken Sie auf Block (Blockieren), um zu verhindern, dass diese App Geschäfts-, Schul- oder Unidaten in iTunes und iCloud sichert. Klicken Sie auf Zulassen, um dieser App zu erlauben, Geschäfts-, Schul- oder Unidaten in iTunes und iCloud zu sichern. Zulassen
Organisationsdaten an andere Apps senden Geben Sie an, welche Apps Daten von dieser App empfangen können:
  • Alle Apps: Übertragung an beliebige App zulassen. Die empfangende App kann die Daten lesen und bearbeiten.
  • Keine: Lassen Sie keine Datenübertragung zu einer App zu, einschließlich anderer richtlinienverwalteter Apps. Wenn der Benutzer eine verwaltete Open-in-Funktion ausführt und ein Dokument überträgt, sind die Daten verschlüsselt und unlesbar.
  • Richtlinienverwaltete Apps: Datenübertragung nur an andere richtlinienverwaltete Apps zulassen.

    Hinweis:Benutzer können möglicherweise Inhalte über Open-in- oder Share-Erweiterungen auf nicht verwaltete Apps auf nicht registrierten Geräten oder auf registrierten Geräten übertragen, die die Freigabe für nicht verwaltete Apps ermöglichen. Intune verschlüsselt die übertragenen Daten, sodass nicht verwaltete Apps sie nicht lesen können.

  • Richtlinienverwaltete Apps mit Betriebssystemfreigabe: Lassen Sie die Datenübertragung an andere richtlinienverwaltete Apps und Dateiübertragungen an andere MDM-verwaltete Apps nur auf registrierten Geräten zu.

    Hinweis: Die Richtlinie für von der Richtlinie verwaltete Apps mit dem OS-Freigabewert gilt nur für MDM-registrierte Geräte. Wenn diese Einstellung auf einen Benutzer auf einem nicht registrierten Gerät ausgerichtet ist, gilt das Verhalten des Werts für verwaltete Richtlinien-Apps. Auf nicht registrierten Geräten stellt die Öffnungs-/Freigabefilterung sicher, dass nur andere richtlinienverwaltete Apps die Datenübertragung akzeptieren können, wenn der Wert für richtlinienverwaltete Apps wirksam ist. Wenn ein Benutzer versucht, Inhalte an eine nicht verwaltete App zu übertragen (z. B. über eine benutzerdefinierte Freigabeerweiterung), werden die Daten von Intune verschlüsselt und sind unlesbar, es sei denn, die empfangende App unterstützt den privaten Datentyp von Intune. Benutzer können unverschlüsselte Inhalte über Open-in- oder Share-Erweiterungen an jede Anwendung übertragen, die von der iOS-MDM-Einstellung allowOpenFromManagedtoUnmanaged zugelassen wird, vorausgesetzt, die sendende App hat die IntuneMAMUPNIntuneMAMOID und konfiguriert. Weitere Informationen finden Sie unter Verwalten der Datenübertragung zwischen iOS-Apps in Microsoft Intune. Weitere Informationen zu dieser iOS/iPadOS-MDM-Einstellung finden Sie hierhttps://developer.apple.com/business/documentation/Configuration-Profile-Reference.pdf.

  • Per Richtlinie verwaltete Apps mit Filterung für „Öffnen in“/Freigabe: Übertragung nur an andere richtlinienverwaltete Apps zulassen und die Dialogfenster für „Öffnen in“/Freigabe des Betriebssystems so filtern, dass nur richtlinienverwaltete Apps angezeigt werden. Zum Konfigurieren der Filterung des Dialogfensters für Öffnen in/Freigabe ist es erforderlich, dass sowohl die Apps, die als Quelle für die Datei bzw. das Dokument dienen, als auch die Apps, mit denen die Datei bzw. das Dokument geöffnet werden kann, über Version 8.1.1 oder höher des Intune SDK für iOS verfügen.

    Hinweis:Benutzer können möglicherweise Inhalte mithilfe von Open-in- oder Share-Erweiterungen auf nicht verwaltete Apps übertragen, wenn die App den privaten Datentyp Intune unterstützt. Intune verschlüsselt die übertragenen Daten, sodass nicht verwaltete Apps sie nicht lesen können.


Spotlight-Suche (ermöglicht die Suche nach Daten in Apps) und Siri-Verknüpfungen werden blockiert, es sei denn, sie ist auf "Alle Apps" festgelegt.

Diese Richtlinie kann auch für universelle iOS-/iPadOS-Links gelten.

Es gibt einige ausgenommene Apps und Dienste, bei denen Intune möglicherweise standardmäßig die Datenübertragung zulässt. Darüber hinaus können Sie Ihre eigenen Ausnahmen erstellen, wenn Sie zulassen müssen, dass Daten an eine App übertragen werden, welche die Intune-App nicht unterstützt. Weitere Informationen finden Sie unter Datenübertragungsausnahmen.

 Alle Apps
    Wählen Sie die Apps aus, die ausgenommen werden sollen
 Diese Option ist dann verfügbar, wenn Sie die vorherige Option auf Richtlinienverwaltete Apps festgelegt haben.
    Universelle Links auswählen, die ausgenommen werden sollen
 Geben Sie an, welche universellen iOS-/iPadOS-Links in der angegebenen nicht verwalteten Anwendung anstelle des geschützten Browsers geöffnet werden sollen, der durch die Einstellung Übertragung von Webinhalten mit anderen Apps einschränken festgelegt ist. Sie müssen sich an den Anwendungsentwickler wenden, um das richtige universelle Linkformat für die jeweilige Anwendung zu ermitteln.
    Verwaltete universelle Links auswählen
 Geben Sie an, welche universellen iOS-/iPadOS-Links in der angegebenen verwalteten Anwendung anstelle des geschützten Browsers geöffnet werden sollen, der durch die Einstellung Übertragung von Webinhalten mit anderen Apps einschränken festgelegt ist. Sie müssen sich an den Anwendungsentwickler wenden, um das richtige universelle Linkformat für die jeweilige Anwendung zu ermitteln.
    Kopien von Organisationsdaten speichern
 Klicken Sie auf Block (Blockieren), um die Verwendung der Option „Speichern unter“ in dieser App zu deaktivieren. Klicken Sie auf Allow (Zulassen), wenn die Verwendung von Speichern unter zulässig sein soll. Wenn für diese Einstellung Block (Blockieren) festgelegt ist, können Sie die Einstellung Benutzer das Speichern von Kopien in den ausgewählten Diensten ermöglichen konfigurieren.

Hinweis:
  • Diese Einstellung wird für Microsoft Excel, OneNote, Outlook, PowerPoint, Word und Microsoft Edge unterstützt. Es kann auch von nicht von Microsoft stammenden und branchenspezifischen Apps unterstützt werden.
  • Diese Einstellung ist nur konfigurierbar, wenn die Einstellung Organisationsdaten an andere Apps senden auf Richtlinienverwaltete Apps, Per Richtlinie verwaltete Apps mit Betriebssystemfreigabe oder Per Richtlinie verwaltete Apps mit Filterung für „Öffnen in“/„Freigabe“ festgelegt ist.
  • Diese Einstellung ist "Zulassen", wenn die Einstellung Organisationsdaten an andere Apps senden auf "Alle Apps" festgelegt ist.
  • Diese Einstellung ist "Blockieren" ohne zulässige Dienststandorte, wenn die Einstellung "Organisationsdaten an andere Apps senden " auf "Keine" festgelegt ist.
Zulassen
      Benutzer das Speichern von Kopien in den ausgewählten Diensten ermöglichen
 Benutzer können Dateien in den ausgewählten Diensten speichern: Microsoft OneDrive, SharePoint, Box, Fotobibliothek, iManage, Egnyte und lokaler Speicher. Alle anderen Dienste werden blockiert. OneDrive für den Arbeitsplatz oder die Schule/Universität: Sie können Dateien auf OneDrive für Geschäfts-, Schul- oder Unikonten und SharePoint speichern. SharePoint: Sie können Dateien in der lokalen SharePoint-Instanz speichern. Fotobibliothek: Sie können Dateien lokal in der Fotobibliothek speichern. Lokaler Speicher: Verwaltete Apps können Kopien von Organisationsdaten lokal speichern. Dies umfasst NICHT das Speichern von Dateien an lokalen, nicht verwalteten Speicherorten wie der Datei-App auf dem Gerät. 0 ausgewählt
    Transfer telecommunication data to (Telekommunikationsdaten übertragen an):
 Wenn ein Benutzer eine verlinkte Telefonnummer in einer App auswählt, wird normalerweise eine Dialer-App geöffnet, in der die Telefonnummer bereits ausgefüllt und zum Anruf bereit ist. Legen Sie für diese Einstellung fest, wie diese Art der Inhaltsübertragung behandelt werden soll, wenn sie von einer richtlinienverwalteten App initiiert wird:
  • Keine, diese Daten nicht zwischen Apps übertragen: Übertragen Sie keine Kommunikationsdaten, wenn eine Telefonnummer erkannt wird.
  • Eine bestimmte Dialer-App: Erlauben Sie einer bestimmten verwalteten Dialer-App, einen Kontakt zu initiieren, wenn eine Telefonnummer erkannt wird.
  • Beliebige Dialer-App: Lassen Sie zu, dass jede verwaltete Dialer-App verwendet wird, um Kontakte zu initiieren, wenn eine Telefonnummer erkannt wird.

Hinweis: Für diese Einstellung ist Intune SDK 12.7.0 und höher erforderlich. Wenn Ihre Apps auf die Dialer-Funktionalität angewiesen sind und nicht die richtige Intune SDK-Version verwenden, sollten Sie als Problemumgehung das Hinzufügen von "tel; telprompt" als Ausnahme für die Datenübertragung festzulegen. Sobald die Apps die richtige Intune SDK-Version unterstützen, kann die Ausnahme entfernt werden.

 Any dialer app (Jede Telefon-App)
      URL-Schema der Telefon-App
 Wenn eine bestimmte Dialer-App ausgewählt ist, müssen Sie das URL-Schema der Dialer-App angeben, das zum Starten der Dialer-App auf iOS-Geräten verwendet wird. Weitere Informationen finden Sie in der Apple-Dokumentation zu Telefonverknüpfungen. Blank
    Messagingdaten an
 Wenn ein Benutzer in einer App einen Link zum Versenden eines Links anklickt, wird normalerweise eine Messaging-App geöffnet, in der die Telefonnummer bereits ausgefüllt und versandbereit ist. Legen Sie für diese Einstellung fest, wie diese Art der Inhaltsübertragung gehandhabt werden soll, wenn sie von einer richtlinienverwalteten App initiiert wird. Möglicherweise sind zusätzliche Schritte erforderlich, damit diese Einstellung wirksam wird. Stellen Sie zunächst sicher, dass SMS aus der Liste "Apps auswählen, die ausgenommen werden sollen" entfernt wurde. Stellen Sie dann sicher, dass die Anwendung eine neuere Version des Intune SDK (Version > 19.0.0) verwendet. Legen Sie für diese Einstellung fest, wie diese Art der Inhaltsübertragung behandelt werden soll, wenn sie von einer richtlinienverwalteten App initiiert wird:
  • Keine, diese Daten nicht zwischen Apps übertragen: Übertragen Sie keine Kommunikationsdaten, wenn eine Telefonnummer erkannt wird.
  • Eine bestimmte Messaging-App: Zulassen, dass eine bestimmte verwaltete Messaging-App einen Kontakt initiiert, wenn eine Telefonnummer erkannt wird.
  • Beliebige Messaging-App: Lassen Sie zu, dass jede verwaltete Messaging-App verwendet wird, um einen Kontakt zu initiieren, wenn eine Telefonnummer erkannt wird.

Hinweis: Für diese Einstellung ist Intune SDK 19.0.0 und höher erforderlich.

 Beliebige Messaging-App
      URL-Schema der Messaging-App
 Wenn eine bestimmte Messaging-App ausgewählt wurde, müssen Sie das URL-Schema der Messaging-App angeben, das zum Starten der Messaging-App auf iOS-Geräten verwendet wird. Weitere Informationen finden Sie in der Apple-Dokumentation zu Telefonverknüpfungen. Blank
Daten von anderen Apps empfangen Geben Sie an, welche Apps Daten an diese App übertragen können:
  • Alle Apps: Datenübertragung aus jeder App zulassen.
  • Keine: Lassen Sie die Datenübertragung von keiner App zu, einschließlich anderer richtlinienverwalteter Apps.
  • Richtlinienverwaltete Apps: Datenübertragung nur von anderen richtlinienverwalteten Apps zulassen
  • Alle Apps mit eingehenden Organisationsdaten: Datenübertragung von beliebigen Apps zulassen. Alle eingehende Daten ohne eine Benutzeridentität werden als Daten aus Ihrer Organisation behandelt. Die Daten werden mit der in der IntuneMAMUPN Einstellung definierten Identität des MDM-registrierten Benutzers gekennzeichnet.

    Hinweis:Der Wert "Alle Apps mit eingehenden Organisationsdaten" gilt nur für MDM-registrierte Geräte. Wenn diese Einstellung auf einen Benutzer auf einem nicht registrierten Gerät ausgerichtet ist, gilt das Verhalten des Werts "Alle Apps".

MAM-fähige Anwendungen mit mehreren Identitäten versuchen, beim Empfang nicht verwalteter Daten zu einem nicht verwalteten Konto zu wechseln, wenn diese Einstellung auf "Keine " oder "Richtlinienverwaltete Apps" konfiguriert ist. Wenn kein nicht verwaltetes Konto bei der App angemeldet ist oder die App nicht wechseln kann, werden die eingehenden Daten blockiert.

 Alle Apps
    Daten in Organisationsdokumenten öffnen
 Wählen Sie Blockieren aus, um die Verwendung der Option Öffnen oder anderer Optionen zum Teilen von Daten zwischen Konten in dieser App zu deaktivieren. Klicken Sie auf Zulassen, wenn die Verwendung von Öffnen zulässig sein soll.

Wenn diese Option auf Blockieren festgelegt ist, können Sie die Option Benutzern das Öffnen von Daten aus ausgewählten Diensten erlauben konfigurieren, um anzugeben, welche Dienste für Organisationsdatenspeicherorte zulässig sind.

Hinweis:
  • Diese Einstellung kann nur konfiguriert werden, wenn die Einstellung Daten von anderen Apps empfangen auf Richtlinienverwaltete Apps festgelegt ist.
  • Diese Einstellung ist "Zulassen", wenn die Einstellung "Daten von anderen Apps empfangen " auf "Alle Apps " oder "Alle Apps mit eingehenden Organisationsdaten" festgelegt ist.
  • Diese Einstellung ist "Blockieren" ohne zulässige Dienststandorte, wenn die Einstellung "Daten von anderen Apps empfangen " auf "Keine" festgelegt ist.
  • Diese Einstellung wird von den folgenden Apps unterstützt:
    • OneDrive 11.45.3 oder höher.
    • Outlook für iOS 4.60.0 oder höher.
    • Teams für iOS 3.17.0 oder höher.
 Zulassen
      Benutzern das Öffnen von Daten aus ausgewählten Diensten gestatten
 Wählen Sie Anwendungsspeicherdienste aus, aus denen Benutzer Daten öffnen können. Alle anderen Dienste werden blockiert. Wenn Sie "Keine Dienste" auswählen, wird verhindert, dass Benutzer Daten von externen Speicherorten öffnen.
Hinweis: Dieses Steuerelement ist für Daten außerhalb des Unternehmenscontainers konzipiert.

Unterstützte Dienste:
  • OneDrive
  • SharePoint
  • Kamera
  • Fotomediathek
Hinweis: Die Kamera enthält keinen Zugriff auf Fotos oder die Fotogalerie. Durch Auswahl von Fotobibliothek in der Intune-Einstellung Benutzern erlauben, Daten von ausgewählten Diensten zu öffnen können Sie verwalteten Konten gestatten, eingehende Daten aus der Fotobibliothek ihres Geräts in ihre verwalteten Apps zuzulassen.		 Alle ausgewählten
Ausschneiden, Kopieren und Einfügen zwischen Apps einschränken Geben Sie an, wann Ausschneide-, Kopier- und Einfügeaktionen in dieser App erlaubt sind. Wählen Sie zwischen:
  • Blockiert: Lassen Sie keine Ausschneide-, Kopier- und Einfügeaktionen zwischen dieser App und einer anderen App zu.
  • Richtlinienverwaltete Apps: Ausschneide-, Kopier- und Einfügeaktionen nur zwischen dieser App und anderen richtlinienverwalteten Apps zulassen.
  • Richtlinienverwaltete Apps mit Einfügen: Ausschneiden oder Kopieren zwischen dieser App und anderen richtlinienverwalteten Apps zulassen. Einfügen von Daten aus beliebigen Apps in diese App zulassen.
  • Alle Apps: Keine Einschränkungen für das Ausschneiden, Kopieren und Einfügen in und aus dieser App.
 Alle Apps
    Zeichenlimit für Ausschneiden und Kopieren für alle Apps
 Geben Sie die Anzahl der Zeichen an, die aus Organisationsdaten und -konten ausgeschnitten oder kopiert werden dürfen. Auf diese Weise wird die Freigabe der angegebenen Anzahl von Zeichen für jede Anwendung ermöglicht, einschließlich nicht verwalteter Apps, unabhängig von der Einstellung "Ausschneiden, Kopieren und Einfügen mit anderen Apps einschränken ".

Standardwert = 0

Hinweis: Die App muss Version 9.0.14 oder höher des Intune SDK aufweisen.

 0
Tastaturen von Drittanbietern Wählen Sie Blockieren aus, um die Verwendung von Tastaturen von Drittanbietern in verwalteten Apps zu verhindern.

Wenn diese Einstellung aktiviert ist, erhält der Benutzer eine einmalige Meldung, die angibt, das die Verwendung von Tastaturen von Drittanbietern gesperrt ist. Diese Meldung wird angezeigt, wenn der Benutzer zum ersten Mal mit Unternehmensdaten interagiert, bei denen die Verwendung einer Tastatur erforderlich ist. Bei der Verwendung verwalteter Anwendungen ist nur die Standardtastatur von iOS/iPadOS verfügbar, alle anderen Tastaturen sind deaktiviert. Diese Einstellung wirkt sich sowohl auf die organization als auch auf die persönlichen Konten von Anwendungen mit mehreren Identitäten aus. Diese Einstellung wirkt sich nicht auf die Verwendung von Tastaturen von Drittanbietern in nicht verwalteten Anwendungen aus.

Hinweis: Zur Verwendung dieses Features muss Version 12.0.16 oder höher des Intune SDK installiert sein. Bei Apps mit SDK-Versionen von 8.0.14 bis einschließlich 12.0.15 gilt dieses Feature nicht ordnungsgemäß für Apps mit mehreren Identitäten. Weitere Informationen finden Sie unter Bekanntes Problem: Tastaturen von Drittanbietern werden in iOS/iPadOS für persönliche Konten nicht blockiert.

 Zulassen

Hinweis

Für IntuneMAMUPN ist eine Appschutz-Richtlinie für verwaltete Geräte erforderlich. Dies gilt auch für alle Einstellungen, die registrierte Geräte erfordern.

Verschlüsselung

Setting Anleitung Standardwert
Organisationsdaten verschlüsseln Wählen Sie „Require“ (Erforderlich) aus, um die Verschlüsselung von Geschäfts-, Schul- oder Unidaten in dieser App zu aktivieren. Intune erzwingt die Verschlüsselung auf iOS/iPadOS-Geräteebene, um App-Daten zu schützen, während das Gerät gesperrt ist. Darüber hinaus können Anwendungen App-Daten optional mithilfe der Intune APP SDK-Verschlüsselung verschlüsseln. Das Intune App SDK verwendet iOS-/iPadOS-Kryptografiemethoden, um eine 256-Bit-AES-Verschlüsselung auf App-Daten anzuwenden.

Wenn Sie diese Einstellung aktivieren, muss der Benutzer möglicherweise eine Geräte-PIN einrichten und verwenden, um auf sein Gerät zuzugreifen. Wenn keine Geräte-PIN vorliegt und die Verschlüsselung erforderlich ist, wird der Benutzer mit der Meldung „Ihre Organisation hat festgelegt, dass Sie zuerst eine Geräte-PIN aktivieren müssen, um auf diese App zugreifen zu können“ aufgefordert, eine PIN einzurichten.

In der offiziellen Apple-Dokumentation erfahren Sie mehr über die Datenschutzklassen im Rahmen der Apple Platform Security.		 Erforderlich

Funktionalität

Setting Anleitung Standardwert
Per Richtlinie verwaltete App-Daten mit nativen Apps oder Add-Ins synchronisieren Wählen Sie "Blockieren" aus, um zu verhindern, dass richtlinienverwaltete Apps Daten in den nativen Apps des Geräts (Kontakte, Kalender und Widgets) speichern, und um die Verwendung von Add-Ins innerhalb der richtlinienverwalteten Apps zu verhindern. Wenn dies von der Anwendung nicht unterstützt wird, ist das Speichern von Daten in nativen Apps und die Verwendung von Add-Ins zulässig.

Wenn Sie „Zulassen“ auswählen, kann die von Richtlinien verwaltete App Daten in den nativen Apps speichern oder Add-Ins verwenden, wenn diese Features in der von Richtlinien verwalteten App unterstützt und aktiviert werden.

Anwendungen bieten möglicherweise mehr Steuerelemente, um das Datensynchronisierungsverhalten an bestimmte native Apps anzupassen, oder berücksichtigen diese Kontrolle nicht.

Hinweis: Wenn Sie eine selektive Zurücksetzung durchführen, um Geschäfts-, Schul- oder Unidaten aus der App zu entfernen, werden Daten entfernt, die direkt von der richtlinienverwalteten App mit der nativen App synchronisiert wurden. Daten, die von der nativen App mit einer anderen externen Quelle synchronisiert werden, werden nicht gelöscht.

Hinweis: Die folgenden Apps unterstützen dieses Feature: 		Zulassen
Organisationsdaten drucken Wählen Sie Blockieren aus, um zu verhindern, dass die App Geschäfts-, Schul- oder Unidaten druckt. Wenn Sie diese Einstellung auf den Standardwert "Zulassen" festlegen, können Benutzer alle Organisationsdaten exportieren und drucken. Zulassen
Übertragung von Webinhalten mit anderen Apps einschränken Legen Sie fest, wie Webinhalte (HTTP-/HTTPS-Links) über mit Richtlinien verwaltete Anwendungen geöffnet werden. Wählen Sie zwischen:
  • Any App (Alle Apps): Weblinks in jeder beliebigen App zulassen
  • Microsoft Edge: Webinhalte dürfen nur in Microsoft Edge geöffnet werden. Dieser Browser ist ein durch Richtlinien verwalteter Browser.
  • Nicht verwalteter Browser: Webinhalte dürfen nur in dem nicht verwalteten Browser geöffnet werden, der in der Einstellung Protokoll von nicht verwaltetem Browser definiert wurde. Der Webinhalt wird im Zielbrowser nicht verwaltet.
    Hinweis: Die App muss Version 11.0.9 oder höher des Intune SDK aufweisen.
Wenn Sie Intune zum Verwalten Ihrer Geräte verwenden, lesen Sie Verwalten des Internetzugriffs mittels Richtlinien für verwaltete Browser mit Microsoft Intune.

Wenn ein richtlinienverwalteter Browser erforderlich ist, aber nicht installiert ist, wird eine Aufforderung für die Benutzer angezeigt, Microsoft Edge zu installieren.

Wenn ein richtlinienverwalteter Browser erforderlich ist, werden universelle iOS-/iPadOS-Links über die Richtlinieneinstellung "Organisationsdaten an andere Apps senden " verwaltet.

Geräteregistrierung mit Intune
Wenn Sie Intune zum Verwalten Ihrer Geräte verwenden, lesen Sie Verwalten des Internetzugriffs mittels Richtlinien für verwaltete Browser mit Microsoft Intune.

Microsoft Edge: mit Richtlinien verwaltet
Microsoft Edge für mobile Geräte (iOS/iPadOS und Android) unterstützt Intune-App-Schutzrichtlinien. Benutzer, die sich mit ihren Microsoft Entra-Unternehmenskonten in der Microsoft Edge-Browseranwendung anmelden, sind durch Intune geschützt. Der Microsoft Edge-Browser integriert das Intune SDK und unterstützt alle zugehörigen Datenschutzrichtlinien, mit Ausnahme der folgenden Verhinderung:

  • Speichern unter: Der Microsoft Edge-Browser erlaubt es einem Benutzer nicht, direkte In-App-Verbindungen zu Cloudspeicheranbietern (wie OneDrive) hinzuzufügen.
  • Kontaktsynchronisierung: Der Microsoft Edge-Browser speichert nicht in systemeigenen Kontaktlisten.

Hinweis: Das Intune SDK kann nicht ermitteln, ob eine Ziel-App ein Browser ist. Auf iOS/iPadOS-Geräten sind keine anderen verwalteten Browser-Apps zulässig.		 Nicht konfiguriert
    Protokoll von nicht verwaltetem Browser
 Geben Sie das Protokoll für einen einzelnen nicht verwalteten Browser ein. Webinhalte (HTTP/HTTPS-Links) von richtlinienverwalteten Anwendungen sind in jeder App geöffnet, die dieses Protokoll unterstützt. Der Webinhalt wird im Zielbrowser nicht verwaltet.

Verwenden Sie dieses Feature nur, wenn Sie geschützte Inhalte für einen bestimmten Browser freigeben müssen, den die Intune-App-Schutzrichtlinien nicht aktivieren. Sie müssen beim Browseranbieter erfragen, welches Protokoll vom gewünschten Browser unterstützt wird.

Hinweis:Schließen Sie nur das Protokollpräfix ein. Wenn Ihr Browser Links der Art mybrowser://www.microsoft.com erfordert, geben Sie mybrowser an.
Links werden übersetzt als:
  • http://www.microsoft.com > mybrowser://www.microsoft.com
  • https://www.microsoft.com > mybrowsers://www.microsoft.com
 Blank
Benachrichtigungen zu Organisationsdaten Geben Sie an, wie Organisationsdaten über Benachrichtigungen des Betriebssystems für Organisationskonten freigegeben werden. Diese Richtlinieneinstellung wirkt sich auf das lokale Gerät und alle verbundenen Geräte wie Wearables und Smart Speaker aus. Apps bieten möglicherweise mehr Steuerelemente zum Anpassen des Benachrichtigungsverhaltens oder entscheiden sich, nicht alle Werte zu berücksichtigen. Wählen Sie zwischen:
  • Blockiert: Benachrichtigungen nicht freigeben.
    • Wenn dies von der Anwendung nicht unterstützt wird, sind Benachrichtigungen zulässig.
  • Organisationsdaten blockieren: Geben Sie z. B. keine Organisationsdaten in Benachrichtigungen weiter.
    • "Sie haben neue Post"; "Sie haben eine Besprechung."
    • Wenn dies von der Anwendung nicht unterstützt wird, sind Benachrichtigungen zulässig.
  • Zulassen: Organisationsdaten werden in Benachrichtigungen geteilt.

Hinweis:
Diese Einstellung erfordert die folgende App-Unterstützung:

  • Outlook für iOS 4.34.0 oder höher
  • Teams für iOS 2.0.22 oder höher
  • Microsoft 365 (Office) für iOS 2.72 oder höher
 Zulassen
Genmoji Wählen Sie Block , um die Verwendung von Genmoji für Geschäfts-, Schul- oder Unidaten zu verhindern. Wenn Sie diese Einstellung auf Zulassen, den Standardwert, belassen, können Benutzer Organisationsdaten für den Genmoji-Generator freigeben.

Hinweis: Diese Einstellung erfordert v19.7.12 oder höher für Xcode 15 und v20.4.0 oder höher für Xcode 16 des SDK.

 Zulassen
Bildschirmaufnahme Wählen Sie "Block" aus, um Bildschirmaufnahmen von Geschäfts-, Schul- oder Unidaten zu verhindern. Wenn Sie diese Einstellung auf Zulassen, den Standardwert, belassen, können Benutzer alle Organisationsdaten ohne Einschränkungen auf dem Bildschirm erfassen und freigeben. Die Sperre für die Bildschirmaufnahme wird in den folgenden Szenarien angewendet:
  • Screenshots
  • Bildschirmaufzeichnung auf dem Gerät
  • Bildschirmfreigabe über On-Device-Apps wie Teams und Zoom Mobile
  • Bildschirmspiegelung auf ein anderes Gerät über AirPlay
  • Bildschirmspiegelung oder -aufzeichnung über QuickTime auf einem verbundenen Mac

Hinweis: Diese Einstellung erfordert v19.7.12 oder höher für Xcode 15 und v20.4.0 oder höher für Xcode 16 des SDK.

 Zulassen
Schreibtools Wählen Sie "Block " aus, um die Verwendung von Schreibwerkzeugen für Geschäfts-, Schul- oder Unidaten zu verhindern. Wenn Sie diese Einstellung auf den Standardwert "Zulassen" festlegen, können Benutzer Organisationsdaten für Schreibtools freigeben.

Hinweis: Diese Einstellung erfordert v19.7.12 oder höher für Xcode 15 und v20.4.0 oder höher für Xcode 16 des SDK.

 Zulassen

Hinweis

Keine der Datenschutzeinstellungen steuert das von Apple verwaltete Feature „Öffnen in“ auf iOS-/iPadOS-Geräten. Informationen zum Verwalten der Apple-Funktion „Öffnen in“ finden Sie unter Verwalten der Datenübertragung zwischen iOS-/iPadOS-Apps in Microsoft Intune.

Datenübertragungsausnahmen

Es gibt einige ausgenommene Apps und Plattformdienste, bei denen die Intune-App-Schutzrichtlinie in bestimmten Szenarien möglicherweise die Datenübertragung zu und von ihnen zulässt. Diese Liste unterliegt Änderungen und gibt die Dienste und Apps wieder, die als nützlich für eine sichere Produktivität gelten.

Sie können der Ausnahmeliste nicht verwaltete Apps hinzufügen, die nicht von Microsoft stammen, um Ausnahmen für die Datenübertragung zuzulassen. Weitere Informationen finden Sie unter Erstellen von Ausnahmen zur Datenübertragungsrichtlinie der Intune-App-Schutzrichtlinie (App). Die ausgenommene nicht verwaltete App muss basierend auf dem iOS-URL-Protokoll aufgerufen werden. Wenn z. B. die Datenübertragungsausnahme für eine nicht verwaltete App hinzugefügt wird, würde sie dennoch verhindern, dass Benutzer Ausschneide-, Kopier- und Einfügevorgänge durchführen, wenn eine Beschränkung durch eine Richtlinie besteht. Diese Art der Ausnahme würde Benutzer auch weiterhin daran hindern, Open-in-Aktion innerhalb einer verwalteten App zu verwenden, um Daten in einer ausgenommenen App freizugeben oder zu speichern, da sie nicht auf dem iOS-URL-Protokoll basiert. Weitere Informationen zu Öffnen in finden Sie unter Verwenden des App-Schutzes mit iOS-Apps.

Name der App/des Diensts Beschreibung
skype Skype
app-settings Geräteeinstellungen
itms; itmss; itms-apps; itms-appss; itms-services App Store
calshow Nativer Kalender

Wichtig

Richtlinien für den Intune-App-Schutz, die vor dem 15. Juni 2020 erstellt wurden, enthalten die URL-Schemas tel und telprompt in den Standardausnahmen für die Datenübertragung. Diese URL-Schemas ermöglichen es verwalteten Apps, die Telefonfunktionalität zu initiieren. Die Richtlinieneinstellung "App-Schutz " Übertragen von Telekommunikationsdaten anstelle dieser Funktionalität. Administratoren sollten tel;telprompt; aus den Datenübertragungsausnahmen entfernen und sich auf die Richtlinieneinstellung für den App-Schutz verlassen, sofern die verwalteten Anwendungen, deren Telefonfunktionalität initiiert wird, das Intune SDK 12.7.0 oder höher enthalten.

Wichtig

In Intune SDK 14.5.0 oder höher, einschließlich SMS- und mailto-URL-Schemas in der Datenübertragung, erlauben Ausnahmen die Freigabe von Organisationsdaten für die MFMessageCompose (für SMS) und MFMailCompose (für mailto) Ansichtscontroller in richtlinienverwalteten Anwendungen.

Universelle Links ermöglichen dem Benutzer das direkte Starten einer Anwendung, die dem Link zugeordnet ist, anstelle eines geschützten Browsers, der durch die Einstellung Übertragung von Webinhalten mit anderen Apps einschränken angegeben wurde. Sie müssen sich an den Anwendungsentwickler wenden, um das richtige universelle Linkformat für die jeweilige Anwendung zu ermitteln.

Die Richtlinie für universelle Verknüpfungen verwaltet auch standardmäßige App-Clip-Links.

Durch Hinzufügen von universellen Links zu nicht verwalteten Apps können Sie die angegebene Anwendung starten. Um die App hinzuzufügen, müssen Sie den Link zur Ausnahmeliste hinzufügen.

Achtung

Die Zielanwendungen für diese universellen Links werden nicht verwaltet, und das Hinzufügen einer Ausnahme könnte zu Datensicherheitsverlusten führen.

Die standardmäßigen Ausnahmen für universelle Links für Apps umfassen die folgenden Apps:

Universeller App-Link Beschreibung
http://maps.apple.com; https://maps.apple.com Karten-App
http://facetime.apple.com; https://facetime.apple.com FaceTime-App

Wenn Sie die standardmäßigen Ausnahmen für universelle Links nicht zulassen möchten, können Sie diese löschen. Sie können auch universelle Links für Nicht-Microsoft- oder Branchen-Apps hinzufügen. Die ausgenommenen universellen Links erlauben Platzhalter wie http://*.sharepoint-df.com/*.

Durch Hinzufügen von universellen Links zu verwalteten Apps können Sie die angegebene Anwendung sicher starten. Um die App hinzuzufügen, müssen Sie den universellen Link der App zur verwalteten Liste hinzufügen. Wenn die Zielanwendung Intune App-Schutzrichtlinie unterstützt, wird durch Klicken auf den Link versucht, die App zu starten. Wenn die App nicht geöffnet werden kann, wird der Link im geschützten Browser geöffnet. Wenn die Zielanwendung das Intune SDK nicht integriert, wird durch Klicken auf den Link der geschützte Browser gestartet.

Die standardmäßigen verwalteten universellen Links sind die folgenden:

Universeller Link für verwaltete Apps Beschreibung
http://*.onedrive.com/*; https://*.onedrive.com/*; Microsoft OneDrive-App
http://*.appsplatform.us/*; http://*.powerapps.cn/*; http://*.powerapps.com/*; http://*.powerapps.us/*; https://*.powerbi.com/*; https://app.powerbi.cn/*; https://app.powerbigov.us/*; https://app.powerbi.de/*; PowerApps
http://*.powerbi.com/*; http://app.powerbi.cn/*; http://app.powerbigov.us/*; http://app.powerbi.de/*; https://*.appsplatform.us/*; https://*.powerapps.cn/*; https://*.powerapps.com/*; https://*.powerapps.us/*; Power BI
http://*.service-now.com/*; https://*.service-now.com/*; ServiceNow
http://*.sharepoint.com/*; http://*.sharepoint-df.com/*; https://*.sharepoint.com/*; https://*.sharepoint-df.com/*; SharePoint
http://web.microsoftstream.com/video/*; http://msit.microsoftstream.com/video/*; https://web.microsoftstream.com/video/*; https://msit.microsoftstream.com/video/*; Stream
http://*teams.microsoft.com/l/*; http://*devspaces.skype.com/l/*; http://*teams.live.com/l/*; http://*collab.apps.mil/l/*; http://*teams.microsoft.us/l/*; http://*teams-fl.microsoft.com/l/*; https://*teams.microsoft.com/l/*; https://*devspaces.skype.com/l/*; https://*teams.live.com/l/*; https://*collab.apps.mil/l/*; https://*teams.microsoft.us/l/*; https://*teams-fl.microsoft.com/l/*; Teams
http://tasks.office.com/*; https://tasks.office.com/*; http://to-do.microsoft.com/sharing*; https://to-do.microsoft.com/sharing*; ToDo
http://*.yammer.com/*; https://*.yammer.com/*; Viva Engage
http://*.zoom.us/*; https://*.zoom.us/*; Zoom

Wenn Sie die standardmäßigen Ausnahmen für universelle Links nicht zulassen möchten, können Sie diese löschen. Sie können auch universelle Links für Nicht-Microsoft- oder branchenspezifische Apps hinzufügen.

Erforderliche Zugriffsberechtigungen

Setting Anleitung Standardwert
PIN für Zugriff Klicken Sie auf Require (Erforderlich), um für die Verwendung dieser App eine PIN anzufordern. Benutzer werden beim ersten Ausführen der App in einem Geschäfts-, Schul- oder Unikontext aufgefordert, diese PIN einzurichten. Die PIN wird entweder beim Online- oder beim Offlinearbeiten angewendet.

Sie können die PIN-Sicherheit mithilfe der Einstellungen im Abschnitt PIN for access (PIN für Zugriff) konfigurieren.

Hinweis: Endbenutzer, die auf die App zugreifen dürfen, können die App-PIN zurücksetzen. Diese Einstellung ist auf iOS-Geräten möglicherweise in einigen Fällen nicht sichtbar. Für iOS-Geräte ist eine maximale Anzahl von vier Tastenkombinationen verfügbar. Um die Verknüpfung zum Zurücksetzen der APP-PIN anzuzeigen, muss der Endbenutzer möglicherweise über eine andere verwaltete App auf die Verknüpfung zugreifen.		 Erforderlich
    PIN-Typ
 Legen Sie fest, dass eine numerische PIN oder ein Passcode eingegeben werden muss, bevor Benutzer auf eine App zugreifen können, für die App-Schutzrichtlinien gelten. Numerische Anforderungen enthalten nur Zahlen, während ein Passcode mit mindestens einem Buchstaben oder mindestens einem Sonderzeichen definiert werden kann.

Hinweis:Zum Konfigurieren des Passcodetyps ist es erforderlich, dass die App über Intune SDK Version 7.1.12 oder höher verfügt. Für den numerischen Typ gibt es keine Versionseinschränkung für das Intune SDK. Zulässige Sonderzeichen sind die Sonderzeichen und Symbole auf der englischen iOS/iPadOS-Tastatur.		 Numeric
    Einfache PIN
 Klicken Sie auf Zulassen, um Benutzern das Verwenden einfacher PIN-Sequenzen wie „1234“, „1111“, „abcd“ oder „aaaa“ zu erlauben. Klicken Sie auf Block (Blockieren), um zu verhindern, dass einfache Sequenzen verwendet werden. Einfache Sequenzen werden in gleitenden Fenstern mit drei Zeichen überprüft. Wenn Block konfiguriert ist, würde 1235 oder 1112 vom Endbenutzer nicht als PIN akzeptiert, aber 1122 wäre zulässig.

Hinweis:Wenn die Passcodetyp-PIN konfiguriert und "Einfache PIN zulassen" auf "Ja" festgelegt ist, muss der Benutzer in seiner PIN mindestens einen Buchstaben oder mindestens ein Sonderzeichen verwenden. Wenn die Passcodetyp-PIN konfiguriert und "Einfache PIN zulassen" auf "Nein" festgelegt ist, muss der Benutzer in seiner PIN mindestens eine Zahl und einen Buchstaben sowie mindestens 1 Sonderzeichen verwenden.		 Zulassen
    Auswählen der PIN-Mindestlänge
 Geben Sie die Mindestanzahl von Ziffern in einer PIN-Sequenz an. 4
    Touch ID anstelle von PIN für Zugriff (iOS 8 und höher)
 Klicken Sie auf Zulassen, um Benutzern für den Zugriff auf die App das Verwenden von Touch ID anstelle einer PIN zu erlauben. Zulassen
      PIN setzt Touch ID nach Timeout außer Kraft
 Klicken Sie auf Require (Erforderlich), und konfigurieren Sie ein Inaktivitätstimeout, um diese Einstellung zu verwenden. Erforderlich
        Timeout (Minuten der Inaktivität)
 Geben Sie eine Zeit in Minuten an, nach der entweder ein Passcode oder eine numerische PIN (wie konfiguriert) die Verwendung eines Fingerabdrucks oder Gesichts als Zugriffsmethode außer Kraft setzt. Dieser Timeoutwert sollte größer als der unter „Zugriffsanforderungen nach (Minuten der Inaktivität) erneut überprüfen“ angegebene Wert sein. 30
      Face ID anstelle von PIN für Zugriff (iOS 11 und höher)
 Klicken Sie auf Zulassen, damit die Benutzer die Gesichtserkennungstechnologie zur Benutzerauthentifizierung auf iOS-/iPadOS-Geräten verwenden können. Wenn Sie diese Option zulassen, muss Face ID verwendet werden, damit auf einem mit Face ID kompatiblen Gerät auf die App zugegriffen werden kann. Zulassen
    Anzahl von Tagen für PIN-Zurücksetzung
 Klicken Sie auf Yes (Ja), damit die Benutzer nach einem bestimmten Zeitraum die App-PIN ändern müssen.

Wenn Sie diese Einstellung auf Ja festlegen, können Sie die Anzahl der Tage festlegen, nach denen die PIN zurückgesetzt werden muss.		 Nein
      Anzahl von Tagen
 Konfigurieren Sie die Anzahl der Tage, nach denen die PIN zurückgesetzt werden muss. 90
    App-PIN, wenn Geräte-PIN festgelegt ist
 Klicken Sie auf Deaktivieren, um die App-PIN zu deaktivieren, wenn eine Gerätesperre auf einem registrierten Gerät erkannt wird, auf dem das Unternehmensportal konfiguriert ist.

Hinweis:Erfordert, dass die App über Intune SDK Version 7.0.1 oder höher verfügt. Die IntuneMAMUPN-Einstellung muss konfiguriert werden, damit Anwendungen den Registrierungsstatus erkennen.

Auf iOS-/iPadOS-Geräten können Sie Benutzern erlauben, ihre Identität mithilfe von Touch ID oder Face ID statt einer PIN nachzuweisen. Intune verwendet die LocalAuthentication-API, um die Benutzer mithilfe von Touch ID und Face ID zu authentifizieren. Weitere Informationen zu Touch ID und Face ID finden Sie im iOS Security-Handbuch.

Wenn der Benutzer versucht, diese App mit seinem Geschäfts-, Schul- oder Unikonto zu nutzen, wird er aufgefordert, seine Identität per Fingerabdruck oder Gesichtserkennung anstatt durch Eingabe einer PIN nachzuweisen. Wenn diese Einstellung aktiviert ist, wird das Vorschaubild des App-Wechsels bei Verwendung eines Geschäfts-, Schul- oder Unikontos verschwommen dargestellt. Wenn sich die biometrische Datenbank des Geräts ändert, fordert Intune den Benutzer zur Eingabe einer PIN auf, wenn der nächste Wert für das Inaktivitäts-Timeout erreicht ist. Änderungen an biometrischen Daten umfassen das Hinzufügen oder Entfernen eines Fingerabdrucks oder Gesichts zur Authentifizierung. Wenn der Intune-Benutzer keine PIN festgelegt hat, wird er aufgefordert, eine Intune-PIN einzurichten.		 Enable
Anmeldeinformationen für Geschäfts-, Schul- oder Unikonto für Zugriff Wählen Sie "Anfordern " aus, damit sich der Benutzer mit seinem Geschäfts-, Schul- oder Unikonto anmeldet, anstatt eine PIN für den Zugriff auf die App zu verwenden. Wenn Sie dies auf Erforderlich festlegen und PIN- oder biometrische Eingabeaufforderungen aktiviert sind, wird dem Benutzer sowohl die Eingabeaufforderung für die Unternehmensanmeldeinformationen als auch die Eingabeaufforderung für die PIN oder die biometrischen Daten angezeigt. Nicht erforderlich
Recheck the access requirements after (minutes of inactivity) (Zugriffsanforderungen nach (Minuten der Inaktivität) prüfen) Konfigurieren Sie die Minuten der Inaktivität, bevor die App anfordert, dass der Benutzer die Zugriffsanforderungen erneut angibt.

Beispielsweise aktiviert ein Administrator die PIN und blockiert gerootete Geräte in der Richtlinie, ein Benutzer öffnet eine von Intune verwaltete App, muss eine PIN eingeben und die App auf einem nicht gerooteten Gerät verwenden. Wenn Sie diese Einstellung verwenden, muss der Benutzer während des von Ihnen konfigurierten Zeitraums keine PIN eingeben oder eine weitere Überprüfung der Stammerkennung für eine von Intune verwaltete App durchführen.

Hinweis:Unter iOS/iPadOS wird die PIN von allen von Intune verwalteten Apps desselben Herausgebers gemeinsam genutzt. Der PIN-Timer für eine bestimmte PIN wird zurückgesetzt, sobald die App den Vordergrund auf dem Gerät verlässt. Der Benutzer muss während des in dieser Einstellung definierten Timeouts keine PIN für eine von Intune verwaltete App eingeben, die ihre PIN freigibt. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.		 30

Hinweis

Weitere Informationen dazu, wie mehrere App-Schutzeinstellungen in Intune, die im Abschnitt „Zugriff“ für dieselbe Gruppe von Apps und Benutzern konfiguriert wurden, unter iOS/iPadOS funktionieren, finden Sie unter Häufig gestellte Fragen zu MAM und App-Schutz und Selektives Löschen von Daten in Intune über durch App-Schutzrichtlinien festgelegte bedingte Startaktionen.

Bedingter Start

Konfigurieren Sie die Einstellungen für einen bedingten Start, um die Sicherheitsanforderungen bei der Anmeldung für Ihre Zugriffsschutzrichtlinie festzulegen.

Standardmäßig werden mehrere Einstellungen mit vorkonfigurierten Werten und Aktionen bereitgestellt. Sie können einige dieser Werte löschen, z. B. die Mindestversion des Betriebssystems. Sie können auch andere Einstellungen aus der Dropdownliste "Eine auswählen " auswählen.

Setting Anleitung
Maximale Betriebssystemversion Geben Sie die maximale iOS- oder iPadOS-Betriebssystemversion an, die diese App verwenden darf.

Zu den Aktionen zählen:

  • Warnen : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die iOS/iPadOS-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, wenn die iOS/iPadOS-Version auf dem Gerät diese Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“).

Hinweis:Erfordert, dass die App über Intune SDK Version 14.4.0 oder höher verfügt.
Mindestversion für Betriebssystem Geben Sie zur Verwendung dieser App eine Mindestversion für das iOS-/iPadOS-Betriebssystem an.

Zu den Aktionen zählen:

  • Warnen : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die iOS/iPadOS-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, wenn die iOS/iPadOS-Version auf dem Gerät diese Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“).

Hinweis:Erfordert, dass die App über Intune SDK Version 7.0.1 oder höher verfügt.
Maximal zulässige PIN-Versuche Geben Sie die Anzahl der Versuche an, die der Benutzer zum erfolgreichen Eingeben seiner PIN hat, ehe die konfigurierte Aktion ausgeführt wird. Wenn der Benutzer seine PIN nach der maximalen Anzahl von PIN-Versuchen nicht erfolgreich eingeben kann, muss der Benutzer seine PIN zurücksetzen, nachdem er sich erfolgreich bei seinem Konto angemeldet und bei Bedarf eine Multi-Faktor-Authentifizierung (MFA) abgeschlossen hat. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.

Zu den Aktionen zählen:

  • PIN zurücksetzen: Der Benutzer muss die PIN zurücksetzen.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Standardwert = 5
Offline-Toleranzperiode Hierbei handelt es sich um die Anzahl an Minuten, während der von Richtlinien verwaltete Apps offline ausgeführt werden können. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden.

Zu den Aktionen zählen:

  • Zugriff blockieren (Minuten): Hierbei handelt es sich um die Anzahl der Minuten, während der von Richtlinien verwaltete Apps offline ausgeführt werden können. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden. Nach Ablauf des konfigurierten Zeitraums blockiert die App den Zugriff auf Geschäfts-, Schul- oder Unidaten, bis der Netzwerkzugriff verfügbar ist. Der Offline-Aktivierungszeitraum-Timer zum Blockieren des Datenzugriffs wird individuell für jede App basierend auf dem letzten Einchecken mit dem Intune-Dienst berechnet. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.

    Standardwert = 1440 Minuten (24 Stunden)

    Hinweis: Das Konfigurieren des Offline-Aktivierungszeitgebers zum Blockieren des Zugriffs, der kleiner als der Standardwert ist, könnte zu häufigeren Benutzerunterbrechungen führen, wenn die Richtlinie aktualisiert wird. Die Auswahl eines Werts von weniger als 30 Minuten wird nicht empfohlen, da dies bei jedem Start oder Fortsetzen der Anwendung zu Unterbrechungen für den Benutzer führen kann.

    Hinweis: Das Stoppen der Aktualisierung der Offline-Karenzzeitrichtlinie, einschließlich des Schließens oder Anhaltens der Anwendung, führt zu einer Benutzerunterbrechung beim nächsten Start oder Fortsetzen der Anwendung.

  • Daten löschen (Tage): Nach diesem Zeitraum (durch den Administrator definiert) im Offlinemodus muss der Benutzer für die App eine Verbindung mit dem Netzwerk herstellen und sich erneut authentifizieren. Wenn sich der Benutzer erfolgreich authentifiziert, kann er weiterhin auf seine Daten zugreifen, und das Offline-Intervall wird zurückgesetzt. Wenn der Benutzer sich nicht authentifizieren kann, führt die App eine selektive Löschung des Kontos und der Daten des Benutzers durch. Weitere Informationen dazu, welche Daten mit einer selektiven Zurücksetzung entfernt werden, finden Sie unter Zurücksetzung nur aus Intune-verwalteten Anwendungen. Der Timer für die Offlinetoleranzperiode für das Löschen von Daten wird individuell für jede App basierend auf der letzten Anmeldung beim Intune-Dienst berechnet. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.

    Standardwert = 90 Tage
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.
Geräte mit Jailbreak/entfernten Nutzungsbeschränkungen Für diese Einstellung gibt es keinen Wert, der festgelegt werden kann.

Zu den Aktionen zählen:

  • Zugriff blockieren: Verhindert die Ausführung dieser App auf per Jailbreak oder Rootzugriff manipulierten Geräten. Der Benutzer kann diese App weiterhin für private Zwecke verwenden, muss jedoch für den Zugriff auf Geschäfts-, Schul- oder Unidaten ein anderes Gerät verwenden.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Deaktiviertes Konto Für diese Einstellung gibt es keinen Wert, der festgelegt werden kann.

Zu den Aktionen zählen:

  • Zugriff blockieren: Wenn wir bestätigt haben, dass der Benutzer in Microsoft Entra ID deaktiviert wurde, blockiert die App den Zugriff auf Geschäfts-, Schul- oder Unidaten.
  • Daten löschen – Wenn wir bestätigt haben, dass der Benutzer in Microsoft Entra ID deaktiviert wurde, führt die App eine selektive Löschung des Kontos und der Daten des Benutzers durch.
Mindestversion für App Legen Sie einen Wert für die Mindestversion der Anwendung fest.

Zu den Aktionen zählen:

  • Warnung: Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die App-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren: Der Zugriff durch den Benutzer wird blockiert, wenn die App-Version auf dem Gerät die Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Da Apps selbst häufig individuelle Versionsschemas aufweisen, erstellen Sie eine Richtlinie mit einer minimalen App-Version, die auf eine App abzielt (z. B. Outlook-Versionsrichtlinie).

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Diese Richtlinieneinstellung unterstützt übereinstimmende Versionsformate von iOS-App-Paketen (major.minor oder major.minor.patch).

Hinweis:Erfordert, dass die App über Intune SDK Version 7.0.1 oder höher verfügt.

Sie können zusätzlich konfigurieren, wo Ihre Endbenutzer eine aktualisierte Version einer branchenspezifischen App (LOB, Line-of-Business) erhalten können. Endbenutzer sehen dies im Dialogfeld für bedingten Start in Bezug auf die Min.-App-Version , in dem Endbenutzer aufgefordert werden, auf eine Mindestversion der Branchen-App zu aktualisieren. Unter iOS/iPadOS erfordert dieses Feature, dass die App in das Intune SDK für iOS v. 10.0.7 oder höher integriert (oder mithilfe des Umbruchtools umschlossen) wird. Um zu konfigurieren, wo ein Endbenutzer eine LOB-App aktualisieren soll, muss eine verwaltete App-Konfigurationsrichtlinie mit dem Schlüssel com.microsoft.intune.myappstore an diese gesendet werden. Der gesendete Wert definiert, aus welchem Store der Endbenutzer die App herunterlädt. Wenn die App über das Unternehmensportal bereitgestellt wird, muss der Wert CompanyPortal sein. Für alle anderen Store müssen Sie eine vollständige URL eingeben.
Mindestversion für SDK Geben Sie einen Mindestwert für die Intune SDK-Version an.

Zu den Aktionen zählen:

  • Zugriff blockieren: Der Zugriff des Benutzers wird blockiert, wenn die Version des Intune-SDKs für App-Schutzrichtlinien der App die Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
  • Warnen : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die iOS/iPadOS-SDK-Version für die App die Mindest-SDK-Anforderung nicht erfüllt. Der Benutzer wird angewiesen, ein Upgrade auf die neueste Version der App durchzuführen. Diese Benachrichtigung kann verworfen werden.
Weitere Informationen zum Intune-SDK für App-Schutzrichtlinien finden Sie unter Übersicht über das Intune App SDK. Da Apps oft unterschiedliche Intune SDK-Versionen aufweisen, erstellen Sie eine Richtlinie mit einer einminütigen Intune SDK-Version, die auf eine App ausgerichtet ist (z. B. die Intune SDK-Versionsrichtlinie für Outlook).

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.
Gerätemodelle Geben Sie eine durch Semikolons getrennte Liste von Modellbezeichnern an. Bei diesen Werten wird die Groß-/Kleinschreibung nicht beachtet.

Zu den Aktionen zählen:

  • Angegebene zulassen (nicht Angegebene blockieren): Nur Geräte, die mit dem angegebenen Gerätemodell übereinstimmen, können die App verwenden. Alle anderen Gerätemodelle werden blockiert.
  • Angegebene zulassen (nicht Angegebene löschen): Das Benutzerkonto, das der Anwendung zugeordnet ist, wird vom Gerät gelöscht.
Weitere Informationen zur Verwendung dieser Einstellung finden Sie in der Auflistung bedingter Startaktionen.
Maximal zulässige Gerätebedrohungsstufe App-Schutzrichtlinien können die Vorteile des Intune-MTD-Connectors nutzen. Geben Sie eine maximale Bedrohungsstufe an, die für die Verwendung dieser App zulässig ist. Die mobile Threat Defense (MTD)-App, die Sie auswählen, ermittelt Bedrohungen auf dem Gerät des Benutzers. Geben Sie entweder Geschützt, Niedrig, Mittel oder Stark ein. Geschützt erfordert keine Bedrohungen auf dem Gerät und ist der restriktivste konfigurierbare Wert, während Stark im Wesentlichen eine aktive Verbindung zwischen Intune und MTD erfordert.

Zu den Aktionen zählen:

  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, wenn die Bedrohungsstufe, die von der von der vom ausgewählten Mobile Threat Defense (MTD)-Anbieter-App auf dem Endbenutzergerät bestimmt wurde, diese Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Hinweis:Erfordert, dass die App über Intune SDK Version 12.0.15 oder höher verfügt.

Weitere Informationen zu dieser Einstellung finden Sie unter Aktivieren von MTD auf nicht registrierten Geräten.
Primärer MTD-Dienst Wenn Sie mehrere Intune-MTD-Connectors konfiguriert haben, geben Sie die primäre MTD-Anbieter-App an, die auf dem Endbenutzergerät verwendet werden soll.

Zu den Werten gehören:

  • Microsoft Defender for Endpoint – Wenn der MTD-Connector konfiguriert ist, geben Sie an, dass Microsoft Defender for Endpoint die Informationen zur Bedrohungsstufe des Geräts bereitstellt.
  • Mobile Threat Defense (nicht-Microsoft): Wenn der MTD-Connector konfiguriert ist, geben Sie an, dass der MTD von Nicht-Microsoft die Informationen zur Bedrohungsstufe des Geräts bereitstellt.

Sie müssen die Einstellung "Max. zulässige Gerätebedrohungsstufe" konfigurieren, um diese Einstellung verwenden zu können.

Für diese Einstellung gibt es keine Aktionen .
Arbeitsfreie Zeit Für diese Einstellung gibt es keinen Wert, der festgelegt werden kann.

Zu den Aktionen zählen:

  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, da sich das mit der Anwendung verknüpfte Benutzerkonto in arbeitsfreier Zeit befindet.
  • Warnen : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn sich das mit der Anwendung verknüpfte Benutzerkonto in arbeitsfreier Zeit befindet. Die Benachrichtigung kann verworfen werden.
Hinweis: Diese Einstellung darf nur konfiguriert werden, wenn der Mandant in die Arbeitszeit-API integriert ist. Weitere Informationen zum Integrieren dieser Einstellung in die Arbeitszeit-API finden Sie unter Einschränken des Zugriffs auf Microsoft Teams, wenn arbeitsplatzungebundene Mitarbeiter abwesend sind. Wenn Sie diese Einstellung konfigurieren, ohne sie in die Arbeitszeit-API zu integrieren, kann das mit der App verknüpfte Konto aufgrund eines fehlenden Arbeitszeit-Status gesperrt werden.

Die folgenden Apps unterstützen dieses Feature:

  • Teams für iOS v6.9.2 oder höher
  • Microsoft Edge für iOS v126.2592.56 oder höher

Weitere Informationen

  • Last updated on