Gerätekompatibilitätseinstellungen für Windows in Intune

In diesem Artikel werden die verschiedenen Konformitätseinstellungen aufgeführt und beschrieben, die Sie auf Windows-Geräten in Intune konfigurieren können. Verwenden Sie im Rahmen Ihrer Mobile Device Management (MDM)-Lösung diese Einstellungen, um BitLocker erforderlich zu machen, ein Mindest- und ein maximales Betriebssystem festzulegen, eine Risikostufe mit Microsoft Defender for Endpoint festzulegen und vieles mehr.

Diese Funktion gilt für:

  • Windows
  • Windows Holographic for Business
  • Surface Hub

Die Einstellungen in diesem Artikel sind nach den Abschnitten organisiert, die im Admin Center angezeigt werden, wenn Sie eine Konformitätsrichtlinie erstellen.

Bevor Sie beginnen

Erstellen Sie eine Konformitätsrichtlinie. Wählen Sie unter Plattform die Option Windows 10 und höher aus.

Geräteintegrität

Um sicherzustellen, dass Geräte in einem vertrauenswürdigen Status gestartet werden, verwendet Intune Microsoft-Gerätenachweisdienste. Geräte in Intune Commercial-, US Government GCC High- und DoD-Diensten, die unter Windows 10 ausgeführt werden, verwenden den Device Health Attestation (DHA)-Dienst.

Weitere Informationen finden Sie unter:

Auswertungsregeln für den Windows-Integritätsnachweisdienst

  • BitLocker erforderlich: Die Windows BitLocker-Laufwerkverschlüsselung verschlüsselt alle Daten, die auf dem Windows-Betriebssystemvolume gespeichert sind. BitLocker verwendet das Trusted Platform Module (TPM), um das Windows-Betriebssystem und Benutzerdaten zu schützen. Es hilft auch zu bestätigen, dass ein Computer nicht manipuliert ist, selbst wenn er unbeaufsichtigt bleibt, verloren geht oder gestohlen wird. Wenn der Computer mit einem kompatiblen TPM ausgestattet ist, verwendet BitLocker das TPM, um die Verschlüsselungsschlüssel zum Schutz der Daten zu sperren. Daher kann erst auf die Schlüssel zugegriffen werden, wenn das TPM den Status des Computers überprüft hat.

    • Nicht konfiguriert (Standard): Diese Einstellung wird nicht auf Konformität oder Nichtkonformität ausgewertet.
    • Erforderlich – Das Gerät kann Daten, die auf dem Laufwerk gespeichert sind, vor unbefugtem Zugriff schützen, wenn das System ausgeschaltet ist oder sich im Ruhezustand befindet.

    Device HealthAttestation CSP – BitLockerStatus

    Hinweis

    Wenn Sie eine Gerätekompatibilitätsrichtlinie in Intune verwenden, beachten Sie, dass der Status dieser Einstellung nur zur Startzeit gemessen wird. Daher ist ein Neustart erforderlich, auch wenn die BitLocker-Verschlüsselung abgeschlossen wurde, damit das Gerät dies erkennt und kompatibel wird. Weitere Informationen finden Sie im folgenden Microsoft-Supportblog zum Thema Integritätsnachweis für Geräte.

  • Erforderlich, dass der sichere Start auf dem Gerät aktiviert ist:

    • Nicht konfiguriert (Standard): Diese Einstellung wird nicht auf Konformität oder Nichtkonformität ausgewertet.
    • Erforderlich – Das System wird zum Starten in einen werkseitig vertrauenswürdigen Status gezwungen. Die Kernkomponenten, die zum Booten des Computers verwendet werden, müssen über korrekte kryptografische Signaturen verfügen, denen von der organization, die das Gerät hergestellt hat, vertraut wird. Die UEFI-Firmware überprüft die Signatur, bevor der Computer gestartet wird. Wenn Dateien manipuliert werden, wodurch ihre Signatur beschädigt wird, startet das System nicht.

    Hinweis

    Die Einstellung " Sicherer Start muss auf dem Gerät aktiviert sein" wird auf einigen TPM 1.2- und TPM 2.0-Geräten unterstützt. Bei Geräten, die TPM 2.0 oder höher nicht unterstützen, wird der Status der Richtlinie in Intune als Nicht konform angezeigt. Weitere Informationen zu unterstützten Versionen finden Sie unter Integritätsnachweis für Geräte.

  • Codeintegrität erfordern:
    Codeintegrität ist ein Feature, das die Integrität eines Treibers oder einer Systemdatei jedes Mal überprüft, wenn dieser in den Arbeitsspeicher geladen wird.

    • Nicht konfiguriert (Standard): Diese Einstellung wird nicht auf Konformität oder Nichtkonformität ausgewertet.
    • Erfordern : Codeintegrität erforderlich, die erkennt, ob ein nicht signierter Treiber oder eine nicht signierte Systemdatei in den Kernel geladen wird. Es erkennt auch, ob eine Systemdatei von bösartiger Software geändert oder von einem Benutzerkonto mit Administratorrechten ausgeführt wird.

Weitere Informationen finden Sie unter:

Geräteeigenschaften

Betriebssystemversion

Informationen zu Buildversionen für alle Windows-Feature-Updates und kumulativen Updates (die in einigen der Felder unten verwendet werden) finden Sie in den Windows-Versionsinformationen. Achten Sie darauf, das entsprechende Versionspräfix vor den Buildnummern anzugeben, z. B. 11.0 für Windows 11.

  • Mindestversion des Betriebssystems:
    Geben Sie die minimal zulässige Version in das Zahlenformat major.minor.build.revision ein. Um den richtigen Wert zu erhalten, öffnen Sie eine Eingabeaufforderung, und geben Sie verein. Der ver Befehl gibt die Version im folgenden Format zurück:

    Microsoft Windows [Version 10.0.17134.1]

    Wenn ein Gerät über eine frühere Version als die von Ihnen eingegebene Betriebssystemversion verfügt, wird es als nicht kompatibel gemeldet. Ein Link mit Informationen zum Upgrade wird angezeigt. Der Endbenutzer kann sein Gerät für ein Upgrade entscheiden. Nach dem Upgrade können sie auf Unternehmensressourcen zugreifen.

  • Maximale Betriebssystemversion:
    Geben Sie die maximal zulässige Version im Zahlenformat "major.minor.build.revision " ein. Um den richtigen Wert zu erhalten, öffnen Sie eine Eingabeaufforderung, und geben Sie verein. Der ver Befehl gibt die Version im folgenden Format zurück:

    Microsoft Windows [Version 10.0.17134.1]

    Wenn ein Gerät eine höhere Betriebssystemversion als die eingegebene Version verwendet, wird der Zugriff auf Ressourcen der organization blockiert. Der Endbenutzer wird aufgefordert, sich an seinen IT-Administrator zu wenden. Das Gerät kann erst dann auf Ressourcen der Organization zugreifen, wenn die Regel geändert wird, um die Betriebssystemversion zuzulassen.

  • Mindestens erforderliches Betriebssystem für mobile Geräte:
    Geben Sie die minimal zulässige Version im Nummernformat major.minor.build ein.

    Wenn ein Gerät über eine frühere Version als die von Ihnen eingegebene Betriebssystemversion verfügt, wird es als nicht kompatibel gemeldet. Ein Link mit Informationen zum Upgrade wird angezeigt. Der Endbenutzer kann sein Gerät für ein Upgrade entscheiden. Nach dem Upgrade können sie auf Unternehmensressourcen zugreifen.

  • Maximal erforderliches Betriebssystem für mobile Geräte:
    Geben Sie die maximal zulässige Version in der Major.Minor.build-Nummer ein.

    Wenn ein Gerät eine höhere Betriebssystemversion als die eingegebene Version verwendet, wird der Zugriff auf Ressourcen der organization blockiert. Der Endbenutzer wird aufgefordert, sich an seinen IT-Administrator zu wenden. Das Gerät kann erst dann auf Ressourcen der Organization zugreifen, wenn die Regel geändert wird, um die Betriebssystemversion zuzulassen.

  • Gültige Betriebssystembuilds:
    Geben Sie eine Liste der minimalen und maximalen Betriebssystembuildbereiche an. Diese Einstellung bietet mehr Flexibilität als die Mindestversion des Betriebssystems und die maximale Betriebssystemversion. Verwenden Sie ihn, wenn Sie bestimmte Patchebenen in mehreren Windows-Versionen erzwingen müssen.

    Jeder Eintrag erfordert eine Beschreibung und eine Mindest- und Höchstversion des Betriebssystems im Format "major.minor.build.revision ". Der größte unterstützte Wert für jedes Feld ist 65535 (z. B. 65535.65535.65535.65535). Nachdem Sie einen oder mehrere Einträge definiert haben, können Sie die Liste als CSV-Datei exportieren .

    Beispiel:

    Beschreibung Minimale Version des Betriebssystems Maximale Version des Betriebssystems
    Windows 11 24H2 (Okt. bis Dez. 2024) 10.0.26100.1742 10.0.26100.2605
    Windows 11 23H2 (Juli bis Okt. 2024) 10.0.22631.3880 10.0.22631.4317
    Windows 10 22H2 (Juli bis Okt. 2024) 10.0.19045.4651 10.0.19045.5011

    Hinweis

    Wenn Sie in Ihrer Richtlinie mehrere Bereiche von Betriebssystemversionsbuilds angeben und ein Gerät über einen Build außerhalb der kompatiblen Bereiche verfügt, benachrichtigt das Unternehmensportal den Gerätebenutzer, dass das Gerät mit dieser Einstellung nicht kompatibel ist. Beachten Sie jedoch, dass aufgrund technischer Einschränkungen in der Meldung zur Kompatibilitätskorrektur nur der erste in der Richtlinie angegebene Betriebssystemversionsbereich angezeigt wird. Es wird empfohlen, die zulässigen Betriebssystem-Versionsbereiche für verwaltete Geräte in Ihrer organization zu dokumentieren.

Konfigurations-Manager Compliance

Gilt nur für gemeinsam verwaltete Geräte unter Windows. Nur-Intune-Geräte geben den Status "Nicht verfügbar" zurück.

  • Gerätekompatibilität von Konfigurations-Manager anfordern:
    • Nicht konfiguriert (Standard) – Intune überprüft keine der Konfigurations-Manager-Einstellungen auf Konformität.
    • Erforderlich – Alle Einstellungen (Konfigurationselemente) im Konfigurations-Manager müssen konform sein.

Systemsicherheit

Kennwort

  • Zum Entsperren mobiler Geräte ist ein Kennwort erforderlich:

    • Nicht konfiguriert (Standard): Diese Einstellung wird nicht auf Konformität oder Nichtkonformität ausgewertet.
    • Erforderlich – Benutzer müssen ein Kennwort eingeben, bevor sie auf ihr Gerät zugreifen können.

  • Einfache Kennwörter:

    • Nicht konfiguriert (Standard): Benutzer können einfache Kennwörter erstellen, z. B. 1234 oder 1111.
    • Blockieren : Benutzer können keine einfachen Kennwörter wie 1234 oder 1111 erstellen.

  • Kennworttyp:
    Wählen Sie den Typ des erforderlichen Kennworts oder der PIN aus. Ihre Optionen:

    • Gerätestandard (Standard) – Kennwort, numerische PIN oder alphanumerische PIN erforderlich
    • Numerisch – Kennwort oder numerische PIN erforderlich
    • Alphanumerisch – Ein Kennwort oder eine alphanumerische PIN erforderlich.

    Wenn diese Option auf alphanumerisch festgelegt ist, sind die folgenden Einstellungen verfügbar:

  • Minimale Kennwortlänge:
    Geben Sie die Mindestanzahl von Ziffern oder Zeichen ein, die das Kennwort enthalten muss.

  • Maximale Minuten der Inaktivität, bevor ein Kennwort erforderlich ist:
    Geben Sie die Leerlaufzeit ein, bevor der Benutzer sein Kennwort erneut eingeben muss.

  • Kennwortablauf (in Tagen):
    Geben Sie die Anzahl der Tage ein, bevor das Kennwort abläuft, und sie müssen ein neues erstellen, von 1 bis 730.

  • Anzahl früherer Kennwörter zur Verhinderung der Wiederverwendung:
    Geben Sie die Anzahl der zuvor verwendeten Kennwörter ein, die nicht verwendet werden können.

  • Kennwort anfordern, wenn das Gerät aus dem Leerlauf zurückkehrt (mobil und holografisch):

    • Nicht konfiguriert (Standard)
    • Erfordern : Gerätebenutzer müssen das Kennwort jedes Mal eingeben, wenn das Gerät aus dem Leerlauf zurückkehrt.

    Wichtig

    Wenn die Kennwortanforderungen auf einem Windows-Desktop geändert werden, sind die Benutzer bei der nächsten Anmeldung betroffen, da das Gerät dann vom Leerlauf in den aktiven Modus wechselt. Benutzer mit Kennwörtern, die die Anforderung erfüllen, werden weiterhin aufgefordert, ihre Kennwörter zu ändern.

Verschlüsselung

  • Verschlüsselung der Datenspeicherung auf einem Gerät:
    Diese Einstellung gilt für alle Laufwerke auf einem Gerät.

    • Nicht konfiguriert (Standard)
    • Erforderlich – Verwenden Sie Require zum Verschlüsseln des Datenspeichers auf Ihren Geräten.

    DeviceStatus CSP – DeviceStatus/Compliance/EncryptionCompliance

    Hinweis

    Bei der Einstellung "Verschlüsselung der Datenspeicherung auf einem Gerät " wird allgemein geprüft, ob eine Verschlüsselung auf dem Gerät vorhanden ist, genauer gesagt auf Betriebssystemlaufwerkebene. Derzeit unterstützt Intune nur die Verschlüsselungsüberprüfung mit BitLocker. Für eine robustere Verschlüsselungseinstellung sollten Sie die Verwendung von BitLocker erforderlich in Betracht ziehen, das Windows-Integritätsnachweis für Geräte nutzt, um den BitLocker-Status auf TPM-Ebene zu überprüfen. Wenn Sie diese Einstellung nutzen, beachten Sie jedoch, dass möglicherweise ein Neustart erforderlich ist, bevor das Gerät als kompatibel angezeigt wird.

Gerätesicherheit

  • Firewall:

    • Nicht konfiguriert (Standard) – Intune steuert weder die Windows-Firewall noch ändert sie vorhandene Einstellungen.
    • Erforderlich – Aktivieren Sie die Windows-Firewall, und verhindern Sie, dass Benutzer sie deaktivieren.

    Firewall-CSP

    Hinweis

    • Wenn das Gerät nach einem Neustart sofort synchronisiert wird oder bei Reaktivierung aus dem Ruhezustand sofort synchronisiert wird, kann diese Einstellung als Fehler gemeldet werden. Dieses Szenario wirkt sich möglicherweise nicht auf den allgemeinen Compliance-Status des Geräts aus. Um den Konformitätsstatus erneut zu bewerten, synchronisieren Sie das Gerät manuell.

    • Wenn eine Konfiguration (beispielsweise über eine Gruppenrichtlinie) auf ein Gerät angewendet wird, für das die Windows-Firewall so konfiguriert ist, dass der gesamte eingehende Datenverkehr zugelassen wird, oder wenn die Firewall deaktiviert wird, wird die Einstellung der Firewall auf "Erforderlich" als "Nicht kompatibel" zurückgegeben, auch wenn die Intune-Gerätekonfigurationsrichtlinie die Firewall aktiviert. Dies liegt daran, dass das Gruppenrichtlinienobjekt die Intune-Richtlinie außer Kraft setzt. Um dieses Problem zu beheben, empfehlen wir, alle widersprüchlichen Gruppenrichtlinieneinstellungen zu entfernen oder Ihre Firewall-bezogenen Gruppenrichtlinieneinstellungen zur Intune-Gerätekonfigurationsrichtlinie zu migrieren. Im Allgemeinen empfehlen wir, Standardeinstellungen beizubehalten, einschließlich dem Blockieren eingehender Verbindungen. Weitere Informationen finden Sie unter Bewährte Methoden zum Konfigurieren der Windows-Firewall.

  • Trusted Platform Module (TPM):

    • Nicht konfiguriert (Standard) – Intune überprüft das Gerät nicht auf eine TPM-Chipversion.
    • Erforderlich – Intune überprüft die TPM-Chipversion auf Konformität. Das Gerät ist kompatibel, wenn die TPM-Chipversion größer als 0 (Null) ist. Das Gerät ist nicht kompatibel, wenn keine TPM-Version auf dem Gerät vorhanden ist.

    DeviceStatus CSP – DeviceStatus/TPM/SpecificationVersion

  • Antivirus:

    • Nicht konfiguriert (Standard) – Intune überprüft nicht, ob auf dem Gerät Antivirenlösungen installiert sind.
    • Erforderlich – Überprüfen Sie die Compliance mit Antivirenlösungen, die beim Windows-Sicherheit Center registriert sind, z. B. Symantec und Microsoft Defender. Wenn die Antivirensoftware auf "Erforderlich" festgelegt ist, ist ein Gerät, dessen Antivirensoftware deaktiviert oder veraltet ist, nicht konform.

    DeviceStatus CSP – DeviceStatus/Antivirus/Status

  • Antispyware:

    • Nicht konfiguriert (Standard) – Intune überprüft nicht, ob auf dem Gerät Antispywarelösungen installiert sind.
    • Erforderlich – Überprüfen Sie die Kompatibilität mit Antispywarelösungen, die beim Windows-Sicherheit Center registriert sind, z. B. Symantec und Microsoft Defender. Wenn diese Option auf "Erforderlich" festgelegt ist, ist ein Gerät, dessen Antischadsoftware deaktiviert oder veraltet ist, nicht konform.

    DeviceStatus CSP – DeviceStatus/Antispyware/Status

Defender

Die folgenden Konformitätseinstellungen werden von Windows unterstützt.

  • Microsoft Defender Antischadsoftware:

    • Nicht konfiguriert (Standard) – Intune steuert den Dienst nicht und ändert auch keine vorhandenen Einstellungen.
    • Erforderlich – Aktivieren Sie den Antischadsoftwaredienst Microsoft Defender, und verhindern Sie, dass Benutzer ihn deaktivieren.

  • Microsoft Defender Antimalware Mindestversion:
    Geben Sie die minimal zulässige Version des Microsoft Defender Antischadsoftwarediensts ein. Geben Sie beispielsweise 4.11.0.0 ein. Wenn Sie dieses Feld leer lassen, kann eine beliebige Version des Microsoft Defender Antischadsoftwarediensts verwendet werden.

    Standardmäßig ist keine Version konfiguriert.

  • Microsoft Defender Antimalware Security Intelligence up-to-date:
    Steuert die Updates für die Windows-Sicherheit-, Viren- und Bedrohungsschutz auf den Geräten.

    • Nicht konfiguriert (Standard) – Intune erzwingt keine Anforderungen.
    • Erforderlich – Erzwingen Sie, dass die Microsoft Defender-Sicherheitsinformationen auf dem neuesten Stand sind.

    Defender CSP – Defender/Health/SignatureOutOfDate CSP

    Weitere Informationen finden Sie unter Security Intelligence-Updates für Microsoft Defender Antivirus und andere Microsoft-Antischadsoftware.

  • Echtzeitschutz:

    • Nicht konfiguriert (Standard) – Intune steuert dieses Feature nicht, und vorhandene Einstellungen werden nicht geändert.
    • Erforderlich – Aktivieren Sie den Echtzeitschutz, der nach Schadsoftware, Spyware und anderer unerwünschter Software sucht.

    Richtlinien-CSP – Defender/AllowRealtimeMonitoring CSP

Microsoft Defender für Endpunkt

Regeln für Microsoft Defender für Endpunkt

Weitere Informationen zur Integration von Microsoft Defender for Endpoint in Szenarien mit bedingtem Zugriff finden Sie unter Konfigurieren des bedingten Zugriffs in Microsoft Defender for Endpoint.

  • Erfordern, dass sich das Gerät auf oder unter der Computerrisikobewertung befindet:
    Verwenden Sie diese Einstellung, um die Risikobewertung von Ihren Defense Threat Services als Bedingung für die Konformität zu nehmen. Wählen Sie die maximal zulässige Bedrohungsstufe aus:

    • Nicht konfiguriert (Standard)
    • Klar – Diese Option ist die sicherste, da das Gerät keine Bedrohungen aufweisen kann. Wenn auf dem Gerät eine beliebige Bedrohungsstufe festgestellt wird, wird es als nicht konform bewertet.
    • Niedrig : Das Gerät wird als kompatibel ausgewertet, wenn nur Bedrohungen auf niedriger Ebene vorhanden sind. Durch Bedrohungen höherer Stufen wird das Gerät in einen nicht kompatiblen Status versetzt.
    • Mittel – Das Gerät wird als kompatibel ausgewertet, wenn vorhandene Bedrohungen auf dem Gerät niedrig oder mittel sind. Wenn auf dem Gerät hochrangige Bedrohungen erkannt werden, wird festgestellt, dass es nicht kompatibel ist.
    • Hoch : Diese Option ist am wenigsten sicher und lässt alle Bedrohungsstufen zu. Dies kann nützlich sein, wenn Sie diese Lösung nur für Berichtszwecke verwenden.

    Informationen zum Einrichten von Microsoft Defender for Endpoint als Bedrohungsdienst zur Abwehr finden Sie unter Aktivieren von Microsoft Defender for Endpoint mit bedingtem Zugriff.

Windows-Subsystem für Linux

Für die Einstellungen in diesem Abschnitt ist das Plug-In Windows-Subsystem für Linux (WSL) erforderlich. Weitere Informationen finden Sie unter Auswerten der Kompatibilität für das Windows-Subsystem für Linux.

Geben Sie für Zugelassene Linux-Distributionen und -Versionen mindestens einen Namen für die Linux-Distribution ein. Geben Sie optional eine Mindest- oder Höchstversion des Betriebssystems ein.

Hinweis

Die Distributionsnamen und Versionen, die Sie eingeben, beeinflussen die Konformitätsrichtlinie auf folgende Weise:

  • Wenn keine Verteilung bereitgestellt wird, sind alle Verteilungen zulässig. Dies ist das Standardverhalten.
  • Wenn nur Distributionsnamen angegeben werden, sind alle installierten Versionen dieser Distribution zulässig.
  • Wenn ein Distributionsname und eine Mindestversion des Betriebssystems angegeben werden, sind alle installierten Distributionen mit dem angegebenen Namen und der Mindestversion oder höher zulässig.
  • Wenn ein Distributionsname und eine maximale Betriebssystemversion angegeben werden, sind alle installierten Distributionen mit dem angegebenen Namen und der maximalen Version oder früher zulässig.
  • Wenn ein Distributionsname, eine Mindestversion des Betriebssystems und eine maximale Betriebssystemversion angegeben werden, sind alle installierten Distributionen und Betriebssystemversionen innerhalb des angegebenen Bereichs zulässig.

Windows Holographic for Business

Windows Holographic for Business verwendet die Plattform Windows 10 und höher. Windows Holographic for Business unterstützt die folgende Einstellung:

  • Systemsicherheit>Verschlüsselung>Verschlüsselung der Datenspeicherung auf dem Gerät.

Informationen zum Überprüfen der Geräteverschlüsselung auf der Microsoft HoloLens finden Sie unter Überprüfen der Geräteverschlüsselung.

Surface Hub

Surface Hub verwendet die Plattform Windows 10 und höher. Surface Hubs werden sowohl für Compliance als auch für bedingten Zugriff unterstützt. Um diese Features auf Surface Hubs zu aktivieren, wird empfohlen, die automatische Windows-Registrierung in Intune zu aktivieren (erfordert Microsoft Entra ID) und die Surface Hub-Geräte als Gerätegruppen zu verwenden. Surface Hubs müssen mit Microsoft Entra verknüpft sein, damit die Compliance und der bedingte Zugriff funktionieren.

Anleitungen finden Sie unter Einrichten der Registrierung für Windows-Geräte.

Besondere Überlegungen zu Surface Hubs mit Windows Team OS:
Surface Hubs, auf denen Windows Team OS ausgeführt wird, unterstützen derzeit die Microsoft Defender for Endpoint- und Kennwortkonformitätsrichtlinien nicht. Legen Sie daher für Surface Hubs, auf denen Windows Team OS ausgeführt wird, die folgenden beiden Einstellungen auf den Standardwert " Nicht konfiguriert" fest:

  • Legen Sie in der Kategorie Kennwortzum Entsperren mobiler Geräte das Standardeinstellung"Nicht konfiguriert" fest.

  • Legen Sie in der Kategorie Microsoft Defender for EndpointErforderliches Gerät muss sich auf oder unter der Computerrisikobewertung befinden auf den Standardwert "Nicht konfiguriert" fest.

Nächste Schritte

  • Last updated on