Richtlinieneinstellungen für App-Schutz für Windows

In diesem Artikel werden die Einstellungen für App-Schutzrichtlinien (App Protection Policy, APP) für Windows beschrieben. Die beschriebenen Richtlinieneinstellungen können im Bereich Einstellungen im Intune Admin Center für eine App-Schutzrichtlinie konfiguriert werden, wenn Sie eine neue Richtlinie erstellen.

Sie können den geschützten MAM-Zugriff auf Organisationsdaten über Microsoft Edge auf persönlichen Windows-Geräten aktivieren. Diese Funktion wird als Windows MAM bezeichnet und stellt Funktionen unter Verwendung von Intune-Anwendungskonfigurationsrichtlinien (ACP), Intune-App-Schutzrichtlinien, Windows-Sicherheit Center-Clientbedrohungsschutz und Anwendungsschutz-bedingtem Zugriff bereit. Weitere Informationen zu Windows MAM finden Sie unter Datenschutz für Windows MAM, Erstellen einer MTD-App-Schutzrichtlinie für Windows und Konfigurieren von Microsoft Edge für Windows mit Intune.

Es gibt zwei Kategorien von App-Schutzrichtlinieneinstellungen für Windows:

Wichtig

Intune MAM unter Windows unterstützt nicht verwaltete Geräte. Wenn ein Gerät bereits verwaltet wird, wird die Intune MAM-Registrierung blockiert, und die Einstellungen für App-Schutzrichtlinien werden nicht angewendet. Wenn ein Gerät nach der MAM-Registrierung verwaltet wird, werden die Einstellungen für den App-Schutz nicht mehr angewendet.

Das Gerät darf bei keinem Mandanten Microsoft Entra ID eingebunden oder Mobile Geräteverwaltung (MDM) registriert sein, einschließlich des Mandanten Ihres MAM-Benutzers. Das Gerät darf auch nicht mit mehr als zwei Benutzern außer dem MAM-Benutzer in den Arbeitsplatz eingebunden sein (maximal drei Personen).

Datenschutz

Die Datenschutzeinstellungen wirken sich auf die Organisationsdaten und den Kontext aus. Als Administrator können Sie die Verschiebung von Daten in den und aus dem Kontext des Organisationsschutzes steuern. Der Organisationskontext wird durch Dokumente, Dienste und Websites definiert, auf die vom angegebenen Organisationskonto zugegriffen wird. Die folgenden Richtlinieneinstellungen helfen bei der Steuerung externer Daten, die in den Organisationskontext empfangen werden, und von Organisationsdaten, die aus dem Organisationskontext gesendet werden.

Datenübertragung

Setting Anleitung Standardwert
Daten empfangen von Wählen Sie eine der folgenden Optionen aus, um die Quellen anzugeben, aus denen Benutzer von Organisationen Daten empfangen können:
  • Alle Quellen: Organisationsbenutzer können Daten aus jedem Konto, Dokument, Standort oder jeder Anwendung im Organisationskontext öffnen.
  • Keine Quellen: Organisationsbenutzer können keine Daten aus externen Konten, Dokumenten, Speicherorten oder Anwendungen im Organisationskontext öffnen. HINWEIS: Bei Microsoft Edge steuert "Keine Quellen " das Verhalten beim Hochladen von Dateien entweder per Drag & Drop oder über das Dialogfeld zum Öffnen von Dateien. Die lokale Dateianzeige und das Freigeben von Dateien zwischen Websites/Registerkarten wird blockiert.


 Alle Quellen
Organisationsdaten senden an Wählen Sie eine der folgenden Optionen aus, um die Ziele anzugeben, an die Organisationsbenutzer Daten senden können:
  • Alle Ziele: Organisationsbenutzer können Organisationsdaten an jedes Konto, Dokument, jeden Ort oder jede Anwendung senden.
  • Keine Ziele: Organisationsbenutzer können keine Organisationsdaten aus dem Organisationskontext an externe Konten, Dokumente, Speicherorte oder Anwendungen senden. HINWEIS: Für Microsoft Edge blockiert das Herunterladen von Dateien keine Ziele . Das bedeutet, dass das Freigeben von Dateien zwischen Websites/Registerkarten blockiert ist.


 Alle Ziele
Ausschneiden, Kopieren und Einfügen für Wählen Sie eine der folgenden Optionen aus, um die Quellen und Ziele anzugeben, die Organisationsbenutzer ausschneiden, kopieren oder einfügen können:
  • Jedes Ziel und jede Quelle: Organisationsbenutzer können Daten aus jedem Konto, Dokument, Speicherort oder jeder Anwendung einfügen und in jedes Konto, Dokument, jeden Speicherort oder jede Anwendung ausschneiden/kopieren.
  • Kein Ziel oder Quelle: Organisationsbenutzer können keine Daten in oder aus externen Konten, Dokumenten, Speicherorten oder Anwendungen aus oder in den Organisationskontext ausschneiden, kopieren oder einfügen. HINWEIS: Für Microsoft Edge gibt es keine Ziel- oder Quellblöcke für das Ausschneiden, Kopieren und Einfügen nur innerhalb des Webinhalts. Ausschneiden, Kopieren und Einfügen sind für alle Webinhalte deaktiviert, nicht jedoch für die Anwendungssteuerelemente, einschließlich der Adressleiste.
  • Organisationsdatenziele und beliebige Quelle: Organisationsbenutzer können Daten aus jedem Konto, Dokument, Speicherort oder jeder Anwendung einfügen und Daten in andere Organisationsdokumente, Speicherorte oder Anwendungen kopieren/ausschneiden/kopieren.
  • Organisationsdatenziele und Organisationsdatenquellen: Organisationsbenutzer können Organisationsdaten innerhalb des Organisationskontexts ausschneiden oder in andere Organisationsdokumente, Speicherorte oder Anwendungen kopieren. Organisationsbenutzer können Daten innerhalb des Organisationskontexts in andere Organisationsdokumente, Speicherorte oder Anwendungen einfügen.


 Jedes Ziel und jede Quelle

Funktionalität

Setting Anleitung Standardwert
Organisationsdaten drucken Wählen Sie "Block" aus, um das Drucken von Organisationsdaten zu verhindern. Wählen Sie "Zulassen" aus, um das Drucken von Organisationsdaten zuzulassen. Persönliche oder nicht verwaltete Daten sind nicht betroffen. Zulassen

Health Checks

Legen Sie die Integritätsprüfungsbedingungen für Ihre App-Schutzrichtlinie fest. Wählen Sie eine Einstellung aus, und geben Sie den Wert ein, den Benutzer erfüllen müssen, um auf Ihre Organisationsdaten zugreifen zu können. Wählen Sie dann die Aktion aus, die Sie ausführen möchten, wenn Benutzer Ihre Bedingungen nicht erfüllen. In einigen Fällen können mehrere Aktionen für eine einzelne Einstellung konfiguriert werden.

App-Bedingungen

Konfigurieren Sie die folgenden Einstellungen für die Integritätsprüfung, um die Anwendungskonfiguration zu überprüfen, bevor Sie den Zugriff auf Organisationskonten und -daten zulassen.

Hinweis

Der Begriff richtlinienverwaltete App bezieht sich auf Apps, die mit App-Schutzrichtlinien konfiguriert sind.

Setting Anleitung Standardwert
Offline-Toleranzperiode Die Anzahl der Minuten, die die richtlinienverwaltete App offline ausgeführt werden kann. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden.

Zu den Aktionen zählen:

  • Zugriff blockieren (Minuten): Die Anzahl der Minuten, die richtlinienverwaltete Apps offline ausgeführt werden können. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden. Nach Ablauf des konfigurierten Zeitraums blockiert die App den Zugriff auf Geschäfts-, Schul- oder Unidaten, bis der Netzwerkzugriff verfügbar ist. Der Offline-Aktivierungszeitraum-Timer zum Blockieren des Datenzugriffs wird basierend auf dem letzten Einchecken beim Intune-Dienst berechnet. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.
  • Daten löschen (Tage): Nach so vielen Tagen (vom Administrator definiert) der Offlineausführung verlangt die App, dass der Benutzer eine Verbindung mit dem Netzwerk herstellt und sich erneut authentifiziert. Wenn sich der Benutzer erfolgreich authentifiziert, kann er weiterhin auf seine Daten zugreifen, und das Offline-Intervall wird zurückgesetzt. Wenn der Benutzer sich nicht authentifizieren kann, führt die App eine selektive Löschung des Kontos und der Daten des Benutzers durch. Weitere Informationen dazu, welche Daten mit einer selektiven Zurücksetzung entfernt werden, finden Sie unter Zurücksetzung nur aus Intune-verwalteten Anwendungen. Der Offline-Aktivierungszeitraum-Timer für das Zurücksetzen von Daten wird von der App basierend auf dem letzten Einchecken mit dem Intune-Dienst berechnet. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

 Blockzugriff (Minuten): 720 Minuten (12 Stunden)

Daten zurücksetzen (Tage): 90 Tage
Mindestversion für App Legen Sie einen Wert für die Mindestversion der Anwendung fest.

Zu den Aktionen zählen:

  • Warnung: Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die App-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren: Der Zugriff durch den Benutzer wird blockiert, wenn die App-Version auf dem Gerät die Anforderung nicht erfüllt.
  • Daten zurücksetzen : Das Benutzerkonto, das mit der Anwendung verknüpft ist, wird vom Gerät gelöscht.
Da Apps oft unterschiedliche Versionsschemas aufweisen, sollten Sie eine Richtlinie mit einer minimalen App-Version erstellen, die auf eine App ausgerichtet ist.

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Diese Richtlinieneinstellung unterstützt übereinstimmende Versionsformate von Windows-App-Paketen (major.minor oder major.minor.patch).		 Kein Standardwert
Mindestversion für SDK Geben Sie einen Mindestwert für die Intune SDK-Version an.

Zu den Aktionen zählen:

  • Zugriff blockieren: Der Zugriff des Benutzers wird blockiert, wenn die Version des Intune-SDKs für App-Schutzrichtlinien der App die Anforderung nicht erfüllt.
  • Daten zurücksetzen : Das Benutzerkonto, das mit der Anwendung verknüpft ist, wird vom Gerät gelöscht.
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.		 Kein Standardwert
Deaktiviertes Konto Geben Sie eine automatisierte Aktion an, wenn das Microsoft Entra-Konto für den Benutzer deaktiviert ist. Der Admin kann nur eine Aktion angeben. Für diese Einstellung gibt es keinen Wert, der festgelegt werden kann. Zu den Aktionen zählen:
  • Zugriff blockieren: Wenn wir bestätigen, dass der Benutzer in Microsoft Entra ID deaktiviert ist, blockiert die App den Zugriff auf Geschäfts-, Schul- oder Unidaten.
  • Daten löschen – Wenn wir bestätigen, dass der Benutzer in Microsoft Entra ID deaktiviert ist, führt die App eine selektive Löschung des Kontos und der Daten des Benutzers durch.
HINWEIS: Wenn die status des Benutzers aufgrund von Konnektivität, Authentifizierung oder einem anderen Grund nicht bestätigt werden können, werden diese Aktionen (Zugriff blockieren und Daten löschen) nicht erzwungen.		 Kein Standardwert

Gerätebedingungen

Konfigurieren Sie die folgenden Einstellungen für die Integritätsprüfung, um die Gerätekonfiguration zu überprüfen, bevor Sie den Zugriff auf Organisationskonten und -daten zulassen. Für registrierte Geräte können ähnliche gerätebasierte Einstellungen konfiguriert werden. Weitere Informationen zum Konfigurieren der Gerätekompatibilitätseinstellungen für registrierte Geräte.

Setting Anleitung Standardwert
Mindestversion für Betriebssystem Geben Sie für die Verwendung dieser App ein Windows-Mindestbetriebssystem an.

Zu den Aktionen zählen:

  • Warnen : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die Windows-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, wenn die Windows-Version auf dem Gerät diese Anforderung nicht erfüllt.
  • Daten zurücksetzen : Das Benutzerkonto, das mit der Anwendung verknüpft ist, wird vom Gerät gelöscht.
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“).

Öffnen Sie eine Eingabeaufforderung, um die Windows-Version zu ermitteln. Die Version wird oben im Eingabeaufforderungsfenster angezeigt. Ein Beispiel für das zu verwendende Versionsformat ist 10.0.22631.3155. Beachten Sie, dass bei Verwendung des winver Befehls nur der Betriebssystembuild angezeigt wird (z. B. 22631.3155), welches nicht das richtige Format ist.
Maximale Betriebssystemversion Geben Sie ein maximales Windows-Betriebssystem für die Verwendung dieser App an.

Zu den Aktionen zählen:

  • Warnen : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die Windows-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, wenn die Windows-Version auf dem Gerät diese Anforderung nicht erfüllt.
  • Daten zurücksetzen : Das Benutzerkonto, das mit der Anwendung verknüpft ist, wird vom Gerät gelöscht.

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“).
Maximal zulässige Gerätebedrohungsstufe App-Schutzrichtlinien können die Vorteile des Intune-MTD-Connectors nutzen. Geben Sie eine maximale Bedrohungsstufe an, die für die Verwendung dieser App zulässig ist. Die Bedrohungen werden von der von Ihnen gewählten MTD-Anwendung (Mobile Threat Defense) des Anbieters auf dem Endbenutzergerät bestimmt. Geben Sie entweder Geschützt, Niedrig, Mittel oder Stark ein. Geschützt erfordert keine Bedrohungen auf dem Gerät und ist der restriktivste konfigurierbare Wert, während Stark im Wesentlichen eine aktive Verbindung zwischen Intune und MTD erfordert.

Zu den Aktionen zählen:

  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, wenn die Bedrohungsstufe, die von der von der vom ausgewählten Mobile Threat Defense (MTD)-Anbieter-App auf dem Endbenutzergerät bestimmt wurde, diese Anforderung nicht erfüllt.
  • Daten zurücksetzen : Das Benutzerkonto, das mit der Anwendung verknüpft ist, wird vom Gerät gelöscht.

Weitere Informationen zu dieser Einstellung finden Sie unter Aktivieren von MTD auf nicht registrierten Geräten.

Weitere Informationen

Weitere Informationen zu APP für Windows-Geräte finden Sie in den folgenden Ressourcen:

  • Last updated on