Verwalten genehmigter Apps für Windows-Geräte mit der App Control for Business-Richtlinie und verwalteten Installationsprogrammen für Microsoft Intune

Jeden Tag tauchen neue bösartige Dateien und Apps auf. Wenn sie auf Geräten in Ihrer Organization ausgeführt werden, stellen sie ein Risiko dar, das möglicherweise schwer zu verwalten oder zu verhindern ist. Um zu verhindern, dass unerwünschte Apps auf Ihren verwalteten Windows-Geräten ausgeführt werden, können Sie Microsoft Intune App Control for Business-Richtlinien verwenden.

Die App Control for Business-Richtlinien von Intune sind Teil der Endpunktsicherheit und verwenden den Windows ApplicationControl-Konfigurationsdienstanbieter (CSP), um zulässige Apps auf Windows-Geräten zu verwalten.

Sie können eine Richtlinie für verwaltete Installationsprogramme verwenden, um die Intune-Verwaltungserweiterung Ihrem Mandanten als verwaltetes Installationsprogramm hinzuzufügen, auch über die App Control for Business-Richtlinie. Mit dieser Erweiterung als verwaltetes Installationsprogramm werden die Apps, die Sie über Intune bereitstellen, automatisch vom Installationsprogramm gekennzeichnet. Markierte Apps werden von Ihren App Control for Business-Richtlinien als sichere Apps identifiziert, die auf Ihren Geräten ausgeführt werden dürfen.

• Die Intune-Verwaltungserweiterung ist ein Intune-Dienst, der die Windows MDM-Features für Windows-Geräte ergänzt. Es erleichtert die Installation von Win32-Apps und PowerShell-Skripts auf verwalteten Geräten.

• Ein verwaltetes Installationsprogramm verwendet eine AppLocker-Regel, um Anwendungen, die Sie installieren, als vertrauenswürdig von Ihrer organization zu kennzeichnen Weitere Informationen finden Sie unter Zulassen von Apps, die von einem verwalteten Installationsprogramm installiert wurden, in der Dokumentation zu Windows-Sicherheit.

  Die Verwendung eines verwalteten Installationsprogramms ist nicht erforderlich, um App Control for Business-Richtlinien zu verwenden.

Die Informationen in diesem Artikel können Ihnen bei Folgendem helfen:

• Konfigurieren Sie die Intune Management Extension als verwaltetes Installationsprogramm.
• Konfigurieren Sie die Endpunktsicherheit App Control for Business-Richtlinien.

Weitere Informationen finden Sie unter Windows Defender Application Control in der Dokumentation zu Windows-Sicherheit.

Gilt für:

• Windows

Voraussetzungen

Geräte

Die folgenden Geräte werden für App Control for Business-Richtlinien unterstützt, wenn sie bei Intune registriert sind:

• Windows Enterprise oder Education:

  • Windows 10, Version 1903 oder höher
  • Windows 11

• Windows Professional:

  • Windows 10 mit KB5019959
  • Windows 11:
    • Version 22H2 mit KB5019980
    • Version 21H2 mit KB5019961

• Windows 11 SE:

  • Windows 11 SE wird nur für Mandanten im Bildungsbereich unterstützt. Weitere Informationen finden Sie unter App Control for Business-Richtlinien für Mandanten im Bildungsbereich weiter unten in diesem Artikel.

• Azure Virtual Desktop (AVD):

  • AVD-Geräte werden für die Verwendung von App Control for Business-Richtlinien unterstützt
  • Um AVD-Geräte für mehrere Sitzungen als Ziel zu verwenden, verwenden Sie den App Control for Business-Knoten in Endpoint Security. App Control for Business ist jedoch nur auf den Gerätebereich beschränkt.

• Gemeinsam verwaltete Geräte:

  • Um die Richtlinien der Anwendungssteuerung für Unternehmen auf gemeinsam verwalteten Geräten zu unterstützen, setzen Sie den Schieberegler für Endpunktschutz auf Intune.

Windows Defender App Control for Business

Siehe Windows-Edition und Lizenzierungsanforderungen in Info zur Anwendungssteuerung für Windows in der Dokumentation zu Windows-Sicherheit.

Rollenbasierte Zugriffssteuerungen

Zum Verwalten von App Control for Business-Richtlinien muss einem Konto eine Rolle für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) von Intune zugewiesen werden, die über ausreichende Berechtigungen und Rechte zum Ausführen einer gewünschten Aufgabe verfügt.

Im Folgenden sind die verfügbaren Aufgaben mit den erforderlichen Berechtigungen und Rechten aufgeführt.

• Verwendung eines verwalteten Installationsprogramms aktivieren – Konten muss die Rolle von Intune-Administratoren zugewiesen werden. Die Aktivierung des Installationsprogramms ist ein einmaliges Ereignis.

  Wichtig

  Microsoft empfiehlt die Verwendung von Rollen mit den wenigsten Berechtigungen. Dies trägt zur Verbesserung der Sicherheit für Ihre Organisation bei. Der Intune-Administrator und ähnliche Konten sind hoch privilegierte Rollen, die auf Szenarien beschränkt sein sollten, die keine andere Rolle verwenden können.

• Verwalten der Richtlinie "App Control for Business ": Konten müssen über die Berechtigung " App Control for Business " verfügen, die Rechte zum Löschen, Lesen, Zuweisen, Erstellen, Aktualisieren und Anzeigen von Berichten umfasst.

• Berichte für die App Control for Business-Richtlinie anzeigen – Konten müssen über eine der folgenden Berechtigungen und Rechte verfügen:

  • Die Berechtigung "App Control for Business" mit "Berichte anzeigen".
  • Die Organisationsberechtigung mit Lesen.

Anleitungen zum Zuweisen der richtigen Berechtigungs- und Rechtestufe zum Verwalten der Richtlinie für Intune App Control for Business finden Sie unter Rollenbasierte Zugriffssteuerung für Endpunktsicherheit.

Support für Government Cloud

Intune Endpoint Security Richtlinien zur Anwendungssteuerung und das Konfigurieren eines verwalteten Installationsprogramms werden in den folgenden Sovereign Cloud-Umgebungen unterstützt:

• US Government Clouds
• 21Vianet

Erste Schritte mit verwalteten Installationsprogrammen

Mit der Endpunktsicherheits-App Control for Business von Intune können Sie Richtlinien verwenden, um die Intune Management Extension als verwaltetes Installationsprogramm auf Ihren verwalteten Windows-Geräten hinzuzufügen.

Nachdem Sie ein verwaltetes Installationsprogramm auf einem Gerät aktiviert haben, werden alle nachfolgenden Anwendungen, die Sie über Intune auf Windows-Geräten bereitstellen, mit dem Tag für verwaltete Installationsprogramme gekennzeichnet. Das Tag gibt an, dass die App von einer bekannten Quelle installiert wurde und vertrauenswürdig ist. Das Markieren von Apps durch verwaltete Installationsprogramme wird dann von App Control for Business-Richtlinien verwendet, um Apps automatisch als genehmigt für die Ausführung auf Geräten in Ihrer Umgebung zu identifizieren.

App Control for Business-Richtlinien sind eine Implementierung von Windows Defender Application Control (WDAC). Weitere Informationen zum WDAC- und App-Tagging finden Sie unter Informationen zur Anwendungssteuerung für Windows und zum Tagginghandbuch für WDAC-Anwendungs-IDs (AppId) in der Dokumentation zur Windows Defender-Anwendungssteuerung.

Überlegungen zur Verwendung eines verwalteten Installationsprogramms:

• Sie stellen eine oder mehrere App Control for Business-Richtlinien für ein verwaltetes Installationsprogramm für verschiedene Gruppen von verwalteten Windows-Geräten bereit.

  Tipp

  Am 18. August 2025 hat Intune eine einzelne mandantenweite Richtlinie zum Hinzufügen eines verwalteten Installationsprogramms zu Windows-Geräten durch einen neuen Richtlinienentwurf ersetzt, der die Zuweisung eines verwalteten Installationsprogramms zu ausgewählten Gruppen unterstützt. Wenn die mandantenweite Richtlinie vor dem 18. August in Kraft war, wird diese Richtlinie in eine Richtlinie konvertiert, die auf alle Geräte abzielt und der ursprünglichen Konfiguration entspricht. Wenn Sie eine präzisere Bereitstellung des verwalteten Installationsprogramms bevorzugen, sollten Sie die vorhandene Richtlinie löschen und dann neue Richtlinien für bestimmte Gruppen erstellen oder bestimmte Bereichstags verwenden.

• Nachdem Windows-Geräte eine Richtlinie erhalten haben, die die Intune Management-Erweiterung als verwaltetes Installationsprogramm hinzufügt, werden alle Apps, die Sie über Intune auf diesen Geräten bereitstellen, mit dem Zeichen des verwalteten Installationsprogramms gekennzeichnet.

• Um zu verhindern, dass neue Geräte ein verwaltetes Installationsprogramm hinzufügen, können Sie die Richtlinie bearbeiten, um Gerätegruppen auszuschließen, oder die Richtlinie für verwaltete Installationsprogramme aus Intune löschen. Durch den Ausschluss aus einer Richtlinie oder das Löschen einer Richtlinie wird das verwaltete Installationsprogramm jedoch nicht von Geräten entfernt, auf denen es zuvor hinzugefügt wurde.

• Dieses Tag selbst hat keinen Einfluss darauf, welche Apps auf Ihren Geräten ausgeführt werden können. Das Tag wird nur verwendet, wenn Sie auch WDAC-Richtlinien zuweisen, die bestimmen, welche Apps auf Ihren verwalteten Geräten ausgeführt werden dürfen.

• Da es keine rückwirkende Markierung gibt, werden nicht alle Apps auf Ihren Geräten, die vor dem Aktivieren des verwalteten Installationsprogramms bereitgestellt wurden, markiert. Wenn Sie eine WDAC-Richtlinie anwenden, müssen Sie explizite Konfigurationen einschließen, damit diese nicht gekennzeichneten Apps ausgeführt werden können.

• Sie können eine Richtlinie deaktivieren , um zu verhindern, dass nachfolgende Apps mit dem verwalteten Installationsprogramm gekennzeichnet werden. Apps, die zuvor installiert und gekennzeichnet wurden, bleiben gekennzeichnet. Informationen zur sauberen Bereinigung eines verwalteten Installationsprogramms nach dem Deaktivieren der Richtlinie finden Sie unter Entfernen der Intune-Verwaltungserweiterung als verwaltetes Installationsprogramm weiter unten in diesem Artikel.

Weitere Informationen zum Festlegen des verwalteten Installationsprogramms durch Intune finden Sie in der Dokumentation zu Windows-Sicherheit.

Hinzufügen eines verwalteten Installationsprogramms zu Ihrem Mandanten

Sie können eine oder mehrere Richtlinien für verwaltete Installationsprogramme erstellen, um das verwaltete Installationsprogramm Gerätegruppen hinzuzufügen. Berücksichtigen Sie beim Erstellen von mehr als einer Richtlinie Folgendes, das für Geräte gilt, auf die mehr als eine einzelne verwaltete Installationsrichtlinie abzielt:

• Solange bei einer Richtlinie die Einstellung Aktivieren von Intune Managed Extension als verwaltetes Installationsprogramm auf Aktiviert festgelegt ist, wendet das Gerät die Konfiguration als aktiviert an.
• Bereichstags aus mehr als einer Richtlinie gelten für ein Gerät als Obermenge dieser Bereichstags.

Das folgende Verfahren führt Sie durch das Hinzufügen der Intune Management Extension als verwaltetes Installationsprogramm für Ihren Mandanten:

1. Wechseln Sie im Microsoft Intune Admin Center zu Endpunktsicherheit>,App Control for Business>, wählen Sie die Registerkarte Verwaltetes Installationsprogramm und dann Erstellen aus. Der Workflow Richtlinie für verwaltete Installationsprogramme erstellen wird geöffnet.

   

2. Geben Sie auf der Seite Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Profile, damit Sie sie später leicht identifizieren können.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

3. Legen Sie unter Einstellungen die Option Verwaltete Intune-Erweiterung als verwaltetes Installationsprogramm aktivieren standardmäßig auf "Aktiviert" fest. Wenn diese Option aktiviert ist, verwenden Geräte mit dieser Richtlinie das verwaltete Installationsprogramm. Wenn diese Option deaktiviert ist, verwendet das Gerät das verwaltete Installationsprogramm nicht aktiv.

   Tipp

   Sie können eine Richtlinie jederzeit bearbeiten, um den Wert von "Intune Managed Extension als verwaltetes Installationsprogramm aktivieren" zu bearbeiten.

4. Optional können Sie auf den Bereichstags beliebige Bereichstags auswählen, die angewendet werden sollen.

5. Für Zuweisungen können Sie Gerätegruppen in die Richtlinie ein- und ausschließen . Um fortzufahren, wählen Sie Weiter aus.

   Tipp

   Sie können zwar Sicherheitsgruppen adressieren, zu denen auch Benutzer gehören können, aber nur die Geräte in der Sicherheitsgruppe werden als Ziel verwendet und erhalten die Richtlinie für verwaltete Installationsprogramme. Dies liegt daran, dass Richtlinien für verwaltete Installationsprogramme nur für den Gerätebereich gelten.

6. Überprüfen Sie für Überprüfen + Erstellen Ihre Einstellungen, und wählen Sie dann Erstellen aus, um Ihre Änderungen zu speichern und die Richtlinie für Mitglieder der zugewiesenen Gruppen bereitzustellen. Die Richtlinie wird auch in der Richtlinienliste angezeigt.

Nach dem Hinzufügen des verwalteten Installationsprogramms müssen Sie möglicherweise bis zu 10 Minuten warten, bevor die neue Richtlinie Ihrem Mandanten hinzugefügt wird. Wählen Sie "Aktualisieren " aus, um das Admin Center regelmäßig zu aktualisieren, bis es verfügbar ist.

Wenn die Richtlinie bereit ist, wird sie auf der Registerkarte Verwaltetes Installationsprogramm aufgelistet und hat den Status Aktiv. Bei Geräten kann es bis zu 30 Minuten dauern, bis die Richtlinie übermittelt wird.

Bevor die Richtlinie wirksam wird, müssen Sie eine App Control for Business-Richtlinie erstellen und bereitstellen, um Regeln anzugeben, für die Apps auf Ihren Windows-Geräten ausgeführt werden können.

Weitere Informationen finden Sie in der Dokumentation zu Windows-Sicherheit unter Zulassen von Apps, die von einem verwalteten Installationsprogramm installiert wurden.

• Verwaltete Installationsprogramme können angehaltene oder deaktivierte App-Locker-Richtlinien (auf Zielcomputern) aktivieren, die von GPO erzwungen werden.

Entfernen der Intune Management Extension als verwaltetes Installationsprogramm

Bei Bedarf können Sie verhindern, dass Richtlinien die Intune Management Extension als verwaltetes Installationsprogramm für Ihren Mandanten konfigurieren. Dazu müssen Sie jede Richtlinie für verwaltete Installationsprogramme deaktivieren. Nachdem eine Richtlinie deaktiviert wurde, können Sie weitere saubere Bereinigungsaktionen verwenden.

Deaktivieren der Richtlinie für die Intune Management-Erweiterung (erforderlich)

Die folgende Konfiguration ist erforderlich, um eine Richtlinie zu konfigurieren, um das Hinzufügen der Intune Management Extension als verwaltetes Installationsprogramm zu Geräten zu beenden.

1. Wechseln Sie im Admin Center zu Endpunktsicherheit>.App Control for Business> Wählen Sie die Registerkarte Verwaltetes Installationsprogramm und dann die Richtlinie aus, die Sie bearbeiten möchten.

2. Bearbeiten Sie die Richtlinie, und ändern Sie Aktivieren von Intune Managed Extension als verwaltetes Installationsprogramm in Deaktiviert, und speichern Sie die Richtlinie.

Neue Geräte werden nicht mit der Intune-Verwaltungserweiterung als verwaltetes Installationsprogramm konfiguriert. Dadurch wird die Intune Management Extension nicht als verwaltetes Installationsprogramm von Geräten entfernt, die bereits für ihre Verwendung konfiguriert sind.

Entfernen der Intune Management Extension als verwaltetes Installationsprogramm auf Geräten (optional)

Als optionalen Schritt zur sauberen Bereinigung können Sie ein Skript ausführen, um die Intune Management Extension als verwaltetes Installationsprogramm auf Geräten zu entfernen, auf denen sie bereits installiert ist. Dieser Schritt ist optional, da diese Konfiguration keine Auswirkungen auf Geräte hat, es sei denn, Sie verwenden auch App Control for Business-Richtlinien, die auf das verwaltete Installationsprogramm verweisen.

1. Laden Sie das CatCleanIMEOnly.ps1PowerShell-Skript herunter. Dieses Skript ist ab https://aka.ms/intune_WDAC/CatCleanIMEOnlydownload.microsoft.com verfügbar.

2. Führen Sie dieses Skript auf Geräten aus, auf denen die Intune Management Extension als verwaltetes Installationsprogramm festgelegt ist. Mit diesem Skript wird nur die Intune Management Extension als verwaltetes Installationsprogramm entfernt.

3. Starten Sie den Erweiterungsdienst "Intune Management Extension" neu, damit die oben genannten Änderungen wirksam werden.

Zum Ausführen dieses Skripts können Sie Intune verwenden, um PowerShell-Skripts oder andere Methoden Ihrer Wahl auszuführen.

Entfernen aller AppLocker-Richtlinien von einem Gerät (optional)

Um alle Windows AppLocker-Richtlinien von einem Gerät zu entfernen, können Sie das CatCleanAll.ps1 PowerShell-Skript verwenden. Dieses Skript entfernt nicht nur die Intune Management Extension als verwaltetes Installationsprogramm, sondern alle auf Windows AppLocker basierenden Richtlinien von einem Gerät. Bevor Sie dieses Skript verwenden, stellen Sie sicher, dass Sie die Verwendung von AppLocker-Richtlinien in Ihrer Organisation verstehen.

1. Laden Sie das CatCleanAll.ps1PowerShell-Skript herunter. Dieses Skript ist unter [https://aka.ms/intune_WDAC/CatCleanAll](/ https:/aka.ms/intune_WDAC/CatCleanAll) von download.microsoft.com verfügbar.

2. Führen Sie dieses Skript auf Geräten aus, auf denen die Intune Management Extension als verwaltetes Installationsprogramm festgelegt ist. Dieses Skript entfernt die Intune Management Extension als verwaltetes Installationsprogramm sowie AppLocker-Richtlinien vom Gerät.

3. Starten Sie den Erweiterungsdienst "Intune Management Extension" neu, damit die oben genannten Änderungen wirksam werden.

Zum Ausführen dieses Skripts können Sie Intune verwenden, um PowerShell-Skripts oder andere Methoden Ihrer Wahl auszuführen.

Erste Schritte mit App Control for Business-Richtlinien

Mit den Intune App Control for Business-Richtlinien für Endpunktsicherheit können Sie verwalten, welche Apps auf Ihren verwalteten Windows-Geräten ausgeführt werden dürfen. Alle Apps, die nicht explizit durch eine Richtlinie ausgeführt werden dürfen, werden blockiert, es sei denn, Sie haben die Richtlinie für die Verwendung eines Überwachungsmodus konfiguriert. Im Überwachungsmodus lässt die Richtlinie die Ausführung aller Apps zu und protokolliert die Details dazu lokal auf dem Client.

Um zu verwalten, welche Apps zugelassen oder blockiert werden, verwendet Intune den Windows ApplicationControl CSP auf Windows-Geräten.

Wenn Sie eine App Control for Business-Richtlinie erstellen, müssen Sie ein Format für Konfigurationseinstellungen auswählen, das verwendet werden soll:

• XML-Daten eingeben : Wenn Sie XML-Daten eingeben, müssen Sie der Richtlinie eine Reihe benutzerdefinierter XML-Eigenschaften bereitstellen, die Ihre App Control for Business-Richtlinie definieren.

• Integrierte Steuerelemente – Diese Option ist der am einfachsten zu konfigurierende Weg, bleibt jedoch eine leistungsstarke Wahl. Mit den integrierten Steuerelementen können Sie alle Apps, die von einem verwalteten Installationsprogramm installiert werden, problemlos genehmigen und die Vertrauenswürdigkeit von Windows-Komponenten und Store-Apps zulassen.

  Weitere Details zu diesen Optionen finden Sie auf der Benutzeroberfläche beim Erstellen einer Richtlinie sowie im folgenden Verfahren, das Sie durch die Erstellung einer Richtlinie führt.

Nachdem Sie eine App Control for Business-Richtlinie erstellt haben, können Sie den Geltungsbereich dieser Richtlinie erweitern, indem Sie ergänzende Richtlinien erstellen, die dieser ursprünglichen Richtlinie weitere Regeln im XML-Format hinzufügen. Wenn Sie Ergänzungsrichtlinien verwenden, wird die ursprüngliche Richtlinie als Basisrichtlinie bezeichnet.

Erstellen einer App Control for Business-Richtlinie

Verwenden Sie das folgende Verfahren, um eine erfolgreiche App Control for Business-Richtlinie zu erstellen. Diese Richtlinie wird als Basisrichtlinie betrachtet, wenn Sie anschließend ergänzende Richtlinien erstellen, um den Umfang der Vertrauensstellung zu erweitern, die Sie mit dieser Richtlinie definieren.

1. Melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zu Endpunktsicherheit>. AppControl for Business> Wählen Sie die Registerkarte >App Control for Business aus, und wählen Sie dann "Richtlinie erstellen" aus. App Control for Business-Richtlinien wird automatisch ein Plattformtyp zugewiesen.

   

2. Geben Sie unter Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Profile, damit Sie sie später leicht identifizieren können.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

3. Wählen Sie in den Konfigurationseinstellungen ein Format für die Konfigurationseinstellungen aus:

   XML-Daten eingeben : Mit dieser Option müssen Sie benutzerdefinierte XML-Eigenschaften bereitstellen, um Ihre App Control for Business-Richtlinie zu definieren. Wenn Sie diese Option auswählen, der Richtlinie jedoch keine XLM-Eigenschaften hinzufügen, wird sie als nicht konfiguriert behandelt. Eine nicht konfigurierte App Control for Business-Richtlinie führt zu Standardverhalten auf einem Gerät, ohne dass Optionen vom ApplicationControl-CSP hinzugefügt werden.

   Integrierte Steuerelemente : Bei dieser Option verwendet die Richtlinie kein benutzerdefiniertes XML. Konfigurieren Sie stattdessen die folgenden Einstellungen:

   • Vertrauensstellung von Windows-Komponenten und Store-Apps aktivieren – Wenn diese Einstellung aktiviert ist (Standardeinstellung), können verwaltete Geräte Windows-Komponenten ausführen und Apps sowie andere Apps speichern, die Sie möglicherweise als vertrauenswürdig konfigurieren. Apps, die von dieser Richtlinie nicht als vertrauenswürdig definiert sind, werden blockiert.

     Diese Einstellung unterstützt auch den Modus "Nur Überwachung ". Im Überwachungsmodus werden alle Ereignisse in den lokalen Clientprotokollen protokolliert, aber die Ausführung von Apps wird nicht blockiert.

   • Zusätzliche Optionen zum Vertrauen in Apps auswählen – Für diese Einstellung können Sie eine oder beide der folgenden Optionen auswählen:

     • Vertrauen Sie Apps mit einem guten Ruf – Mit dieser Option können Geräte vertrauenswürdige Apps ausführen, die durch Microsoft Intelligent Security Graph definiert sind. Informationen zur Verwendung von Intelligent Security Graph (ISG) finden Sie unter Zulassen vertrauenswürdiger Apps mit Intelligent Security Graph (ISG) in der Dokumentation zu Windows-Sicherheit.

     • Vertrauen von Apps aus verwalteten Installationsprogrammen – Mit dieser Option können Geräte die Apps ausführen, die von einer autorisierten Quelle, bei der es sich um ein verwaltetes Installationsprogramm handelt, bereitgestellt wurden. Dies gilt für Apps, die Sie über Intune bereitstellen, nachdem Sie die Intune Management Extension als verwaltetes Installationsprogramm konfiguriert haben.

       Das Verhalten für alle anderen Apps und Dateien, die nicht durch Regeln in dieser Richtlinie angegeben werden, hängt von der Konfiguration der Funktion "Vertrauensstellung von Windows-Komponenten und Store-Apps aktivieren" ab:

       • Wenn diese Option aktiviert ist, wird die Ausführung von Dateien und Apps auf Geräten blockiert.
       • Wenn diese Option auf Nur überwachen festgelegt ist, werden Dateien und Apps nur in lokalen Clientprotokollen überwacht.

   

4. Wählen Sie auf der Seite Bereichsmarkierungen alle anzuwendenden Bereichsmarkierungen und dann Weiter aus.

5. Wählen Sie bei "Zuweisungen" die Gruppen aus, die die Richtlinie erhalten. Beachten Sie jedoch, dass WDAC-Richtlinien nur für den Gerätebereich gelten. Um fortzufahren, wählen Sie Weiter aus.

   Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

6. Überprüfen Sie für Überprüfen + Erstellen Ihre Einstellungen, und wählen Sie dann Erstellen aus. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Richtlinienliste angezeigt.

Verwenden einer ergänzenden Richtlinie

Eine oder mehrere ergänzende Richtlinien können Ihnen helfen, eine App Control for Business-Basisrichtlinie zu erweitern, um den Vertrauenskreis dieser Richtlinie zu vergrößern. Eine Ergänzungsrichtlinie kann nur eine Basisrichtlinie erweitern, aber mehrere Ergänzungen können dieselbe Basisrichtlinie erweitern. Wenn Sie Ergänzungsrichtlinien hinzufügen, können die Anwendungen, die durch die Basisrichtlinie und ihre ergänzenden Richtlinien zugelassen werden, auf Geräten ausgeführt werden.

Ergänzende Richtlinien müssen im XML-Format vorliegen und auf die Richtlinien-ID der Basisrichtlinie verweisen.

Die Richtlinien-ID einer App Control for Business-Basisrichtlinie wird durch die Konfiguration der Basisrichtlinie bestimmt:

• Basisrichtlinien, die mit benutzerdefiniertem XML erstellt werden, verfügen über eine eindeutige PolicyID, die auf dieser XML-Konfiguration basiert.

• Basisrichtlinien, die mithilfe der integrierten Steuerelemente für App Control for Business erstellt werden, verfügen über eine von vier möglichen Richtlinien-IDs, die durch die möglichen Kombinationen der integrierten Einstellungen bestimmt werden. In der folgenden Tabelle sind die Kombinationen und die zugehörige PolicyID aufgeführt:

  PolicyID einer Basisrichtlinie	Optionen in der WDAC-Richtlinie (Überwachung oder Erzwingung)
  {A8012CFC-D8AE-493C-B2EA-510F035F1250}	Aktivieren der App-Steuerungsrichtlinie, um Windows-Komponenten und Store-Apps zu vertrauen
  {D6D6C2D6-E8B6-4D8F-8223-14BE1DE562FF}	Aktivieren der App-Steuerungsrichtlinie, um Windows-Komponenten und Store-Apps zu vertrauen Und Apps mit gutem Ruf vertrauen
  {63D1178A-816A-4AB6-8ECD-127F2DF0CE47}	Aktivieren der App-Steuerungsrichtlinie, um Windows-Komponenten und Store-Apps zu vertrauen und Apps aus verwalteten Installationsprogrammen zu vertrauen
  {2DA0F72D-1688-4097-847D-C42C39E631BC}	Aktivieren der App-Steuerungsrichtlinie, um Windows-Komponenten und Store-Apps zu vertrauen Und Vertrauen Sie Apps mit gutem Ruf Und Vertrauen von Apps aus verwalteten Installationsprogrammen

Obwohl zwei App Control for Business-Richtlinien, die dieselbe Konfiguration integrierter Steuerelemente verwenden, dieselbe PolicyID haben, können Sie unterschiedliche ergänzende Richtlinien basierend auf den Zuweisungen für Ihre Richtlinien anwenden.

Stellen Sie sich folgendes Szenario vor:

• Sie erstellen zwei Basisrichtlinien, die dieselbe Konfiguration verwenden und daher dieselbe PolicyID haben. Eine davon stellen Sie Ihrem Führungsteam zur Verfügung, und die zweite Richtlinie wird Ihrem Helpdeskteam zugeordnet.

• Als Nächstes erstellen Sie eine ergänzende Richtlinie, die die Ausführung anderer Apps ermöglicht, die Ihr Führungsteam benötigt. Sie weisen diese Ergänzungsrichtlinie derselben Gruppe, dem Führungsteam, zu.

• Dann erstellen Sie eine zweite Ergänzungsrichtlinie, die die Ausführung verschiedener Tools ermöglicht, die von Ihrem Helpdesk-Team benötigt werden. Diese Richtlinie ist der Gruppe "Helpdesk" zugewiesen.

Infolge dieser Bereitstellungen können beide Ergänzungsrichtlinien beide Instanzen der Basisrichtlinie ändern. Aufgrund der eindeutigen und getrennten Zuweisungen ändert die erste Ergänzungsrichtlinie jedoch nur die zulässigen Apps, die dem Executive-Team zugewiesen sind, und die zweite Richtlinie ändert nur die erlaubten Apps, die vom Helpdesk-Team verwendet werden.

Erstellen einer ergänzenden Richtlinie

1. Verwenden Sie den Assistenten für die Windows Defender-Anwendungssteuerung oder PowerShell-Cmdlets, um eine App Control for Business-Richtlinie im XML-Format zu generieren.

   Weitere Informationen zum Assistenten finden Sie unter aka.ms/wdacWizard- oder Microsoft WDAC-Assistent.

   Wenn Sie eine Richtlinie im XML-Format erstellen, muss sie auf die Richtlinien-ID der Basisrichtlinie verweisen.

2. Nachdem Sie Ihre App Control for Business-Nachtragsrichtlinie im XML-Format erstellt haben, melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zu Endpunktsicherheit>.App Control for Business> Wählen Sie die Registerkarte App Control for Business und dann "Richtlinie erstellen" aus.

3. Geben Sie unter Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Profile, damit Sie sie später leicht identifizieren können.

   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

4. Wählen Sie unter Konfigurationseinstellungen für Konfigurationseinstellungsformatdie Option XML-Daten eingeben aus, und laden Sie Ihre XML-Datei hoch.

5. Wählen Sie für Zuweisungen dieselben Gruppen aus, die der Basisrichtlinie zugewiesen sind, auf die die ergänzende Richtlinie angewendet werden soll, und wählen Sie dann Weiter aus.

6. Überprüfen Sie für Überprüfen + Erstellen Ihre Einstellungen, und wählen Sie dann Erstellen aus. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Richtlinienliste angezeigt.

App Control for Business-Richtlinien für Mandanten im Bildungsbereich

App Control for Business-Richtlinien in Mandanten für Bildungseinrichtungen unterstützen zusätzlich zu den unterstützten Plattformen in den Voraussetzungen, auch Windows 11 SE.

Windows 11 SE ist ein Cloud-First-Betriebssystem, das für die Verwendung in Kursräumen optimiert ist. Ähnlich wie bei Intune for Education priorisiert Windows SE 11 Produktivität, Datenschutz und Lernen der Schüler/Studenten und unterstützt nur Features und Apps, die für die Bildung unerlässlich sind.

Um diese Optimierung zu unterstützen, werden die WDAC-Richtlinie und die Intune-Verwaltungserweiterung automatisch für Windows 11 SE-Geräte konfiguriert:

• Die Intune-Unterstützung für Windows 11 SE-Geräte ist auf die Bereitstellung vordefinierter WDAC-Richtlinien mit einer festgelegten Liste von Apps in EDU-Mandanten beschränkt. Diese Richtlinien werden automatisch bereitgestellt und können nicht geändert werden.

• Für Intune EDU-Mandanten wird die Intune Management Extension automatisch als verwaltetes Installationsprogramm festgelegt. Diese Konfiguration erfolgt automatisch und kann nicht geändert werden.

Richtlinie "App Control for Business löschen"

Wie unter Bereitstellen von WDAC-Richtlinien mithilfe der Dokumentation zu Geräteverwaltung für Mobilgeräte (Mobile Geräteverwaltung, MDM) – Windows-Sicherheit in der Dokumentation zu Windows-Sicherheit beschrieben, werden Richtlinien, die aus der Intune-Benutzeroberfläche gelöscht werden, aus dem System und von Geräten entfernt, bleiben jedoch bis zum nächsten Neustart des Computers wirksam.

So deaktivieren oder löschen Sie die WDAC-Erzwingung:

1. Ersetzen Sie die vorhandene Richtlinie durch eine neue Version der Richtlinie, die Allow /*den Regeln in der Beispielrichtlinie auf Windows-Geräten unter %windir%\schemas\CodeIntegrity\ExamplePolicies\AllowAll.xml

   Diese Konfiguration entfernt alle Blöcke, die andernfalls nach dem Entfernen der Richtlinie auf einem Gerät verbleiben könnten.

2. Nachdem die aktualisierte Richtlinie bereitgestellt wurde, können Sie die neue Richtlinie aus dem Intune-Portal löschen.

Diese Sequenz verhindert, dass etwas blockiert wird, und entfernt die WDAC-Richtlinie beim nächsten Neustart vollständig.

Überwachen von App Control for Business-Richtlinien und dem verwalteten Installationsprogramm

Nachdem den Geräten die Richtlinien für App Control for Business und verwaltete Installationsprogramme zugewiesen wurden, können Sie die Richtliniendetails im Admin Center anzeigen.

• Zum Anzeigen von Berichten muss Ihr Konto über die Leseberechtigung für die rollenbasierte Intune-Zugriffssteuerungskategorie der Organisation verfügen.

Melden Sie sich zum Anzeigen von Berichten beim Intune Admin Center an, und wechseln Sie zur Endpunktsicherheits-App>Control for Business. Wählen Sie die Registerkarte Richtlinien für App Control for Business-Richtlinien und Verwalteter Installer für verwaltete Installationsprogrammrichtlinien aus:

App Control for Business

Wählen Sie auf der Registerkarte App Control for Business eine Richtlinie aus, um eine Ansicht mit den folgenden Berichtsoptionen zu öffnen:

• Geräte- und Benutzer-Check-in-Status – Ein einfaches Diagramm, das die Anzahl der Geräte anzeigt, die jeden verfügbaren Status für diese Richtlinie melden.

• Bericht anzeigen : Daraufhin wird eine Ansicht mit einer Liste der Geräte geöffnet, die diese Richtlinie erhalten haben. Hier können Sie Geräte auswählen, für die Sie einen Drilldown ausführen und das Format ihrer App Control for Business-Richtlinieneinstellungen anzeigen möchten.

Die Richtlinienansicht enthält auch die folgenden Berichtskacheln:

• Status der Gerätezuweisung: Dieser Bericht zeigt alle Geräte an, für die die Richtlinie gilt, einschließlich Geräte mit ausstehender Richtlinienzuweisung.

  Mit diesem Bericht können Sie die status Zuweisungswerte auswählen, die Sie anzeigen möchten, und dann Bericht generieren auswählen, um den Bericht zu aktualisieren, um einzelne Geräte anzuzeigen, die die Richtlinie erhalten haben, ihren letzten aktiven Benutzer und die Zuweisung status.

  Sie können auch Geräte auswählen, um einen Drilldown auszuführen und ihr App Control for Business-Richtlinieneinstellungsformat anzuzeigen.

• Nach Einstellung Status: In diesem Bericht wird die Anzahl der Geräte angezeigt, die den Status als Erfolg, Fehler oder Konflikt für die Einstellungen aus dieser Richtlinie melden.

Verwaltetes Installationsprogramm

Wählen Sie auf der Registerkarte Verwaltetes Installationsprogramm eine Richtlinie aus, um die Übersichtsseite zu öffnen, auf der Sie die folgenden Informationen anzeigen können:

• Gerätestatus, eine statische Anzahl von Erfolg und Fehlern.

• Device status Trend, ein historisches Diagramm, in dem die Zeitleiste und Anzahl der Geräte in jeder Detailkategorie angezeigt werden.

Zu den Berichtsdetails gehören:

• Erfolgreich: Geräte, die die Richtlinie erfolgreich angewendet haben.

• Fehler – Geräte mit Fehlern.

• Neue Geräte – Neue Geräte identifizieren Geräte, auf denen die Richtlinie kürzlich angewendet wurde.

  

Es kann bis zu 24 Stunden dauern, bis die Abschnitte "Geräte status und "Geräte status Trend" in der Übersicht aktualisiert werden.

Während Sie die Richtliniendetails anzeigen, können Sie Gerät status (unter Monitor) auswählen, um eine gerätebasierte Ansicht der Richtliniendetails zu öffnen. In der Ansicht "Gerät status" werden die folgenden Details angezeigt, anhand derer Sie Probleme identifizieren können, falls ein Gerät die Richtlinie nicht erfolgreich anwenden kann:

• Gerätename
• Benutzername
• BS-Version
• Status des verwalteten Installationsprogramms (Erfolgreich oder Fehler)

Es kann einige Minuten dauern, bis die gerätebasierte Ansicht der Richtliniendetails aktualisiert wird, nachdem das Gerät die Richtlinie tatsächlich erhalten hat.

Häufig gestellte Fragen

Wann sollte ich die Intune Management Extension als verwaltetes Installationsprogramm festlegen?

Es wird empfohlen, die Intune Management Extension bei der nächsten verfügbaren Gelegenheit als verwaltetes Installationsprogramm zu konfigurieren.

Nach der Festlegung werden nachfolgende Apps, die Sie auf Geräten bereitstellen, entsprechend gekennzeichnet, um WDAC-Richtlinien zu unterstützen, die Apps von verwalteten Installationsprogrammen vertrauen.

In Umgebungen, in denen Apps, die vor der Konfiguration eines verwalteten Installationsprogramms bereitgestellt wurden, bereitgestellt wurden, empfehlen wir, neue WDAC-Richtlinien im Überwachungsmodus bereitzustellen, damit Sie feststellen können, dass die Apps bereitgestellt, aber nicht als vertrauenswürdig gekennzeichnet wurden. Anschließend können Sie die Überwachungsergebnisse überprüfen und bestimmen, welche Apps als vertrauenswürdig eingestuft werden sollten. Für Apps, denen Sie vertrauen und die Sie ausführen lassen, können Sie anschließend benutzerdefinierte WDAC-Richtlinien erstellen, um diese Apps zuzulassen.

Es kann hilfreich sein, sich mit der erweiterten Suche vertraut zu machen, einem Feature in Microsoft Defender für Endpunkt, das das Abfragen von Überwachungsereignissen auf den vielen von IT-Administratoren verwalteten Computern vereinfacht und ihnen beim Erstellen von Richtlinien hilft.

Was mache ich mit der alten Richtlinie zur Anwendungssteuerung aus meiner Richtlinie zur Verringerung der Angriffsfläche?

Möglicherweise bemerken Sie Instanzen der Application Control-Richtlinie in der Intune-Benutzeroberfläche unter Endpunktsicherheit>,Angriffsflächenreduzierung oder unter Geräte>, Konfigurationverwalten>. Diese werden in einer zukünftigen Version veraltet sein.

Was geschieht, wenn ich mehrere Basis- oder Zusatzrichtlinien auf demselben Gerät habe?

Vor Windows 10 1903 unterstützte App Control for Business jeweils nur eine einzige aktive Richtlinie auf einem System. Dieses Verhalten schränkt Kunden in Situationen, in denen mehrere Richtlinien mit unterschiedlichen Absichten nützlich wären, erheblich ein. Heute werden mehrere Basis- und Zusatzrichtlinien auf demselben Gerät unterstützt. Erfahren Sie mehr über die Bereitstellung mehrerer App Control for Business-Richtlinien.

In diesem Zusammenhang gibt es keine Beschränkung von 32 Richtlinien mehr, die auf demselben Gerät für App Control for Business aktiv sind. Dieses Problem wurde für Geräte, auf denen Windows 10 1903 oder höher ausgeführt wird, mit einem Windows-Sicherheitsupdate behoben, das am oder nach dem 12. März 2024 veröffentlicht wurde. Ältere Versionen von Windows werden diesen Fix voraussichtlich in zukünftigen Windows-Sicherheitsupdates erhalten.

Legt die Opt-In-Funktion des Managed Installers für meinen Mandanten Apps, die über Konfigurations-Manager installiert wurden, mit dem entsprechenden Tag fest?

Nein Dieses Release konzentriert sich auf das Festlegen von Apps, die von Intune installiert wurden, indem die Intune Management Extension als verwaltetes Installationsprogramm verwendet wird. Der Konfigurations-Manager kann nicht als verwaltetes Installationsprogramm festgelegt werden.

Wenn Sie den Konfigurations-Manager als verwaltetes Installationsprogramm festlegen möchten, können Sie dieses Verhalten im Konfigurations-Manager zulassen. Wenn Sie den Konfigurations-Manager bereits als verwaltetes Installationsprogramm festgelegt haben, wird erwartet, dass die neue AppLocker-Richtlinie der Intune Management Extension mit der vorhandenen Konfigurations-Manager-Richtlinie zusammengeführt wird.

Welche Überlegungen sollte ich für Microsoft Entra Hybrid Join (HAADJ)-Geräte in meiner organization anstellen, die Managed Installer verwenden möchten?

Microsoft Entra Geräte mit Hybridjoin benötigen eine Verbindung zu einem lokalen Domänencontroller (DC), um Gruppenrichtlinien anzuwenden, einschließlich der Richtlinie für verwaltete Installationsprogramme (über AppLocker). Ohne DC-Konnektivität, insbesondere während der Bereitstellung von Windows Autopilot, wird die Richtlinie für verwaltete Installationsprogramme nicht erfolgreich angewendet. Erwägen Sie Folgendes:

1. Verwenden Sie stattdessen Windows Autopilot mit Microsoft Entra Join. Weitere Informationen finden Sie in unserer Empfehlung, welche Microsoft Entra-Beitrittsoption Sie wählen sollten.

2. Wählen Sie für Microsoft Entra Hybrid-Join eine oder beide der folgenden Optionen aus:

   • Verwenden Sie Gerätebereitstellungsmethoden, die zum Zeitpunkt der App-Installation DC-Konnektivität bereitstellen, da Windows Autopilot hier möglicherweise nicht funktioniert.
   • Stellen Sie Apps bereit, nachdem die Windows Autopilot-Bereitstellung abgeschlossen ist, sodass die DC-Konnektivität zum Zeitpunkt der App-Installation hergestellt wird, und die Richtlinie für verwaltete Installationsprogramme kann angewendet werden.

Nächste Schritte

Konfigurieren von Endpunktsicherheitsrichtlinien