Überwachen der Geräteverschlüsselung mit Intune

Der Microsoft Intune-Verschlüsselungsbericht enthält Details zum Verschlüsselungsstatus Ihrer verwalteten Geräte sowie Optionen zum Verwalten von Wiederherstellungsschlüsseln für Geräte. Welche Wiederherstellungsschlüsseloptionen verfügbar sind, hängt vom Typ des Geräts ab, das aufgerufen wird.

Um den Bericht zu finden, melden Sie sich beim Microsoft Intune Admin Center an. Wählen Sie Geräte>aus, Gerätekonfigurationverwalten>, wählen Sie die Registerkarte Monitor* aus, und wählen Sie dann den Status der Geräteverschlüsselung aus.

Abrufen von Verschlüsselungsdetails

Der Verschlüsselungsbericht enthält allgemeine Informationen zu allen unterstützten und von Ihnen verwalteten Geräten. In den folgenden Abschnitten finden Sie Details zu den Informationen, die im Intune-Bericht enthalten sind.

Voraussetzungen

Der Verschlüsselungsbericht unterstützt die Berichterstellung auf Geräten, auf denen die folgenden Betriebssystemversionen ausgeführt werden:

• macOS 10.13 oder höher
• Windows, Version 1607 oder höher

Berichtsdetails

Im Berichtsbereich "Verschlüsselung" wird eine Liste der von Ihnen verwalteten Geräte mit allgemeinen Details zu diesen Geräten angezeigt. Sie können ein Gerät aus der Liste auswählen, um einen Drilldown durchzuführen und weitere Details im Bereich "Status der Geräteverschlüsselung anzuzeigen".

• Gerätename : Der Name des Geräts.

• Betriebssystem: die Geräteplattform, z. B. Windows oder macOS.

• Betriebssystemversion: die Version von Windows oder macOS auf dem Gerät.

• TPM-Version(gilt nur für Windows) – die Version des TPM-Chips (Trusted Platform Module), der auf dem Windows-Gerät erkannt wurde.

  Weitere Informationen dazu, wie die TPM-Version abgefragt wird, finden Sie unter DeviceStatus-CSP: TPM-Spezifikation.

• Verschlüsselungsbereitschaft: eine Auswertung der Bereitschaft der Geräte zur Unterstützung einer anwendbaren Verschlüsselungstechnologie wie der BitLocker- oder FileVault-Verschlüsselung. Die Geräte können die folgenden Status aufweisen:

  • Bereit: Das Gerät kann mithilfe einer MDM-Richtlinie (Mobile Device Management) verschlüsselt werden. Dazu muss es die folgenden Anforderungen erfüllen:

    Für macOS-Geräte:

    • macOS, Version 10.13 oder höher

    Für Windows Geräte:

    • Windows 10 Version 1709 oder höher von Business, Enterprise, Education, Windows 10 Version 1809 oder höher von Pround Windows 11.
    • Das Gerät muss über einen TPM-Chip verfügen

    Wichtig

    Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

    Weitere Informationen zu den Windows-Voraussetzungen für die Verschlüsselung finden Sie in der Windows-Dokumentation unter BitLocker-Konfigurationsdienstanbieter (CSP, Configuration Service Provider) in der Windows-Dokumentation.

  • Nicht bereit: Das Gerät verfügt nicht über vollständige Verschlüsselungsfunktionen, unterstützt aber möglicherweise dennoch die Verschlüsselung.

  • Nicht anwendbar: Es stehen nicht genügend Informationen zur Verfügung, um dieses Gerät zu klassifizieren.

• Verschlüsselungsstatus: Gibt an, ob das Betriebssystemlaufwerk verschlüsselt ist.

• Benutzerprinzipalname – Der primäre Benutzer des Geräts.

Geräteverschlüsselungsstatus

Wenn Sie im Verschlüsselungsbericht ein Gerät auswählen, zeigt Intune den Bereich Geräteverschlüsselungsstatus an. In diesem Bereich finden Sie die folgenden Details:

• Gerätename: Der Name des Geräts, das Sie sich ansehen.

• Verschlüsselungsbereitschaft – Eine Bewertung der Bereitschaft des Geräts zur Unterstützung der Verschlüsselung über die MDM-Richtlinie basierend auf einem aktivierten TPM.

  Wenn ein Windows-Gerät nicht bereit ist, unterstützt es möglicherweise weiterhin die Verschlüsselung. Das Windows-Gerät kann nur als Bereit eingestuft werden, wenn es über einen aktivierten TPM-Chip verfügt. TPM-Chips sind für die Unterstützung der Verschlüsselung jedoch nicht erforderlich, da das Gerät dennoch manuell verschlüsselt werden kann. Alternativ kann hierfür eine MDM-/Gruppenrichtlinieneinstellung verwendet werden, die festgelegt werden kann, um die Verschlüsselung ohne einen TPM-Chip zu ermöglichen.

• Verschlüsselungsstatus: Gibt an, ob das Betriebssystemlaufwerk verschlüsselt ist. Es kann bis zu 24 Stunden dauern, bis Intune den Verschlüsselungsstatus eines Geräts oder die Änderung dieses Status meldet. Dieser Zeitraum schließt die Zeit zum Verschlüsseln des Betriebssystems und die Zeit für die Rückmeldung des Geräts an Intune ein.

  Um die Meldung des FileVault-Verschlüsselungsstatus vor dem normalen Einchecken des Geräts zu beschleunigen, müssen die Benutzer ihre Geräte nach Abschluss der Verschlüsselung synchronisieren.

  Bei Windows-Geräten wird in diesem Feld nicht berücksichtigt, ob andere Laufwerke, z. B. Festplattenlaufwerke, verschlüsselt sind. Der Verschlüsselungsstatus stammt aus DeviceStatus-CSP: DeviceStatus/Compliance/EncryptionCompliance.

• Profile: eine Liste von Gerätekonfigurationsprofilen, die für dieses Gerät gelten und mit den folgenden Werten konfiguriert werden:

  • macOS:

    • Profiltyp = Endpoint Protection
    • Einstellungen > FileVault > FileVault = Aktivieren

  • Windows:

    • Profiltyp = Endpoint Protection
    • Einstellungen > Windows-Verschlüsselung > Geräte verschlüsseln = erforderlich

  Sie können die Profilliste verwenden, um einzelne Richtlinien für eine Überprüfung auszuwählen, sollte die Profilstatuszusammenfassung auf Probleme hindeuten.

• Profilstatuszusammenfassung: Eine Zusammenfassung der Profile, die für das Gerät gelten. Die Zusammenfassung stellt die am wenigsten vorteilhafte Bedingung aller anwendbaren Profile dar. Wenn beispielsweise nur eines von mehreren anwendbaren Profilen zu einem Fehler führt, wird in der Profilzustandszusammenfassung"Fehler" angezeigt.

  Um weitere Details eines Status im Intune Admin Center anzuzeigen, wechseln Sie zu Geräte>Geräte>verwalten Konfiguration> wählen Sie das Profil aus. Wählen Sie optional Gerätestatus und anschließend ein Gerät aus.

• Statusdetails: Erweiterte Details zum Verschlüsselungsstatus eines Geräts.

  Dieses Feld zeigt Informationen zu jedem anwendbaren Fehler an, der erkannt werden kann. Mithilfe dieser Informationen verstehen Sie, warum ein Gerät möglicherweise nicht für die Verschlüsselung bereit ist.

  Im Folgenden sehen Sie Beispiele für Statusdetails, die Intune melden kann:

  macOS:

  • Der Wiederherstellungsschlüssel wurde noch nicht abgerufen und gespeichert. Höchstwahrscheinlich wurde das Gerät nicht entsperrt, oder es wurde nicht angemeldet.

    Bedenken Sie: Dieses Ergebnis stellt nicht unbedingt einen Fehlerzustand dar, sondern einen vorübergehenden Zustand, der auf das Timing auf dem Gerät zurückzuführen sein kann, in dem ein Escrow für Wiederherstellungsschlüssel eingerichtet werden muss, bevor die Verschlüsselungsanforderung an das Gerät gesendet wird. Dieser Status kann auch darauf hinweisen, dass das Gerät gesperrt bleibt oder kürzlich nicht mit Intune eingecheckt wurde. Da die FileVault-Verschlüsselung erst gestartet wird, wenn ein Gerät an das Stromnetz angeschlossen (aufgeladen) wird, ist es möglich, dass ein Benutzer einen Wiederherstellungsschlüssel für ein Gerät erhält, das noch nicht verschlüsselt ist.

  • Der Benutzer verzögert die Verschlüsselung oder führt derzeit den Verschlüsselungsprozess aus.

    Bedenken Sie: Entweder hat sich der Benutzer nach Erhalt der Verschlüsselungsanforderung noch nicht abgemeldet, was erforderlich ist, bevor FileVault das Gerät verschlüsseln kann, oder der Benutzer hat das Gerät manuell entschlüsselt. Intune kann nicht verhindern, dass ein Benutzer sein Gerät entschlüsselt.

  • Das Gerät ist bereits verschlüsselt. Der Gerätebenutzer muss das Gerät entschlüsseln, um weitere Schritte ausführen zu können.

    Beachten Sie: Intune kann FileVault nicht auf einem Gerät einrichten, das bereits verschlüsselt ist. Nachdem ein Gerät jedoch die Richtlinie zum Aktivieren von FileVault erhalten hat, kann ein Benutzer seinen persönlichen Wiederherstellungsschlüssel hochladen, damit Intune die Verschlüsselung auf diesem Gerät verwalten kann. Alternativ kann der Benutzer sein Gerät manuell entschlüsseln, um es dann zu einem späteren Zeitpunkt mit der Intune-Richtlinie verschlüsseln zu können. Die manuelle Entschlüsselung wird jedoch nicht empfohlen, da ein Gerät sonst eine Zeit lang unverschlüsselt bleiben kann.

  • Für FileVault muss der Benutzer sein Verwaltungsprofil in macOS Catalina und höher genehmigen.

    Beachten Sie: Ab macOS Version 10.15 (Catalina) können vom Benutzer genehmigte Registrierungseinstellungen dazu führen, dass Benutzer die FileVault-Verschlüsselung manuell genehmigen müssen. Weitere Informationen finden Sie unter "Benutzergenehmigte Registrierung" in der Intune-Dokumentation.

  • Unbekannt.

    Bedenken Sie: Eine mögliche Ursache für einen unbekannten Status ist, dass das Gerät gesperrt ist und Intune den Treuhand- oder Verschlüsselungsprozess nicht starten kann. Nachdem das Gerät entsperrt wurde, kann der Fortschritt fortgesetzt werden.

  Windows:

  Für Windows-Geräte zeigt Intune Statusdetails für Geräte an, die mindestens das Windows 2019-Update vom 10. April 11 ausführen. Die Statusdetails stammen aus BitLocker-CSP: Status/DeviceEncryptionStatus.

  • Die BitLocker-Richtlinie erfordert eine Benutzereinwilligung, damit der BitLocker-Laufwerkverschlüsselungsassistent gestartet werden kann, um mit der Verschlüsselung des Betriebssystemvolumen zu beginnen. Der Benutzer hat jedoch nicht eingewilligt.

  • Die Verschlüsselungsmethode des Betriebssystemvolume stimmt nicht mit der BitLocker-Richtlinie überein.

  • Die BitLocker-Richtlinie erfordert eine TPM-Schutzvorrichtung, damit das Betriebssystemvolume geschützt wird; es wird jedoch kein TPM verwendet.

  • Die BitLocker-Richtlinie erfordert eine reine TPM-Schutzvorrichtung für das Betriebssystemvolume, aber es wird kein TPM-Schutz verwendet.

  • Die BitLocker-Richtlinie erfordert einen TPM+PIN-Schutz für das Betriebssystemvolume, aber es wird keine TPM+PIN-Schutzvorrichtung verwendet.

  • Die BitLocker-Richtlinie erfordert einen TPM+Systemstartschlüssel-Schutz für das Betriebssystemvolume, aber es wird keine TPM+Systemstartschlüssel-Schutzvorrichtung verwendet.

  • Die BitLocker-Richtlinie erfordert einen TPM+PIN+Systemstartschlüssel-Schutz für das Betriebssystemvolume, aber es wird keine TPM+PIN+Systemstartschlüssel-Schutzvorrichtung verwendet.

  • Das Betriebssystemvolume ist nicht geschützt.

    Beachten Sie: Eine BitLocker-Richtlinie zum Verschlüsseln von Betriebssystemlaufwerken wurde auf dem Computer angewendet, aber die Verschlüsselung wurde für das Betriebssystemlaufwerk ausgesetzt oder nicht abgeschlossen.

  • Die Sicherung des Wiederherstellungsschlüssel ist fehlgeschlagen.

    Beachten Sie: Überprüfen Sie das Ereignisprotokoll des Geräts, um festzustellen, warum die Sicherung des Wiederherstellungsschlüssels fehlgeschlagen ist. Möglicherweise müssen Sie den Befehl manage-bde ausführen, um Wiederherstellungsschlüssel manuell zu hinterlegen.

  • Ein Festplattenlaufwerk ist nicht geschützt.

    Beachten Sie: Eine BitLocker-Richtlinie zum Verschlüsseln von Festplattenlaufwerken wurde auf dem Computer angewendet, aber die Verschlüsselung wurde für das Festplattenlaufwerk ausgesetzt oder nicht abgeschlossen.

  • Die Verschlüsselungsmethode des Festplattenlaufwerks stimmt nicht mit der BitLocker-Richtlinie überein.

  • Zum Verschlüsseln von Laufwerken erfordert die BitLocker-Richtlinie, dass sich der Benutzer entweder als Administrator anmeldet oder, wenn das Gerät mit Microsoft Entra ID verbunden ist, muss die AllowStandardUserEncryption-Richtlinie auf 1festgelegt werden.

  • Die Windows-Wiederherstellungsumgebung (Windows Recovery Environment, WinRE) ist nicht konfiguriert.

    Berücksichtigen Sie: Sie müssen die Befehlszeile ausführen, um WinRE auf einer separaten Partition zu konfigurieren. da dies nicht erkannt wurde. Weitere Informationen finden Sie unter REAgentC-Befehlszeilenoptionen.

  • Für BitLocker steht kein TPM zur Verfügung – entweder, weil keines vorhanden ist, es in der Registrierung nicht mehr zur Verfügung steht, oder weil sich das Betriebssystem auf einem Laufwerk befindet, das entfernt werden kann.

    Beachten Sie: Die auf dieses Gerät angewendete BitLocker-Richtlinie erfordert ein TPM, aber auf diesem Gerät erkennt der BitLocker-CSP, dass das TPM möglicherweise auf BIOS-Ebene deaktiviert ist.

  • Das TMP ist nicht bereit für BitLocker.

    Beachten Sie: Der BitLocker-CSP erkennt, dass dieses Gerät über ein verfügbares TPM verfügt, aber das TPM muss möglicherweise initialisiert werden. Erwägen Sie, "intialize-tpm" auf dem Computer auszuführen, um das TPM zu initialisieren.

  • Das Netzwerk ist nicht verfügbar. Dies ist aber eine Voraussetzung zur Sicherung des Wiederherstellungsschlüssels.