Konfigurieren des Webschutzes von Microsoft Defender für Endpunkt auf Android-Geräten, die von Intune verwaltet werden

Wenn Sie Microsoft Defender for Endpoint mit Microsoft Intune integrieren, können Sie Gerätekonfigurationsprofile verwenden, um einige Defender für Endpunkt-Einstellungen auf Android-Geräten zu ändern.

Standardmäßig enthält und aktiviert Microsoft Defender for Endpoint für Android das Webschutzfeature von Microsoft Defender for Endpoint, das dazu beitragen kann, Geräte vor Webbedrohungen zu schützen und Benutzer vor Phishing-Angriffen zu schützen.

Obwohl sie standardmäßig aktiviert ist, gibt es triftige Gründe, sie auf einigen Android-Geräten zu deaktivieren. Sie könnten sich beispielsweise dazu entscheiden, nur das Microsoft Defender für Endpunkt-Feature zum Scannen von Apps zu verwenden oder den Webschutz daran zu hindern, Ihr VPN bei der Suche nach schädlichen URLs zu verwenden.

Mit der Intune-Gerätekonfigurationsrichtlinie können Sie das Webschutzfeature ganz oder teilweise deaktivieren. Die Methode, die Sie verwenden, und die Funktionen, die Sie deaktivieren, hängen davon ab, wie das Android-Gerät für Intune registriert wurde:

• Persönliches Android Enterprise-Arbeitsprofil: Verwenden Sie ein App-Konfigurationsprofil und den Konfigurations-Designer, um das Feature „Webschutz“ zu deaktivieren. Diese Methode und dieser Registrierungstyp unterstützen das Deaktivieren aller Funktionen des Webschutz-Features, jedoch nicht das ausschließliche Deaktivieren von VPNs. Allgemeine Informationen zu App-Konfigurationsrichtlinien finden Sie unter Verwenden des Konfigurations-Designers.

• Android Enterprise vollständig verwaltet. Verwenden Sie ein App-Konfigurationsprofil und den Konfigurationsdesigner , um die gesamte Webschutzfunktion oder nur die Verwendung von VPNs zu deaktivieren.

• Android-Geräteadministrator (veraltet). Verwenden Sie benutzerdefinierte OMA-URI-Einstellungen, um den Webschutz zu deaktivieren. Weitere Informationen finden Sie unter Deaktivieren des Webschutzes für Android-Geräteadministratoren.

Der Webschutz verwendet ein lokales Loopback-VPN, um den Webdatenverkehr abzufangen und auszuwerten. Dieses VPN leitet keinen Datenverkehr außerhalb des Geräts weiter. Von den folgenden Browsern ist bekannt, dass sie mit dem Defender Loopback VPN funktionieren:

• Chrome
• Microsoft Edge
• Firefox
• Opera
• Samsung Internet
• Mutig
• DuckDuckGo

Eine kleinere Gruppe von Browsern (Chrome, Edge, Opera, Samsung Internet) unterstützt auch Webschutz durch den Android Accessibility Service, wenn das Loopback-VPN nicht verwendet wird.

Zum Konfigurieren des Webschutz-Features auf Geräten verwenden Sie das folgende Vorgehen, um die entsprechende Konfiguration zu erstellen und bereitzustellen.

Deaktivieren des Webschutzes für persönliche Android Enterprise-Arbeitsprofile

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wählen Sie Apps>,Verwaltete Apps>,Konfiguration>, Erstellen und dann Verwaltete Geräte aus.

3. Machen Sie unter Basiseinstellungen die folgenden Angaben:

   • Name: Geben Sie einen beschreibenden Namen für das Profil ein. Benennen Sie Ihre Profile, damit Sie diese später leicht wiedererkennen. Wählen Sie beispielsweise einen Namen wie Android-App-Konfiguration für das Feature „Webschutz“ in Microsoft Defender für Endpunkt aus.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.
   • Plattform: Wählen Sie Android Enterprise aus.
   • Profiltyp: Wählen Sie Personally-Owned Work Profile Only (Nur persönliches Arbeitsprofil) aus.
   • Gezielte App: Wählen Sie App auswählen aus.

4. Suchen Sie unter Zugeordnete App die Option Defender for Endpoint (Microsoft Defender für Endpunkt), und klicken Sie auf OK>Weiter.

5. Klicken Sie unter Einstellungen unter Format der Konfigurationseinstellungen auf Konfigurations-Designer verwenden und dann auf Hinzufügen.

6. Suchen Sie die Konfigurationsschlüssel Anti-Phishing (Antiphishing) und VPN, und klicken Sie auf OK, um zur Seite Einstellungen zurückzukehren.

7. Geben Sie für die Konfigurationswerte beider Konfigurationsschlüssel (Anti-Phishing und VPN)0 ein, um den Webschutz zu deaktivieren, und geben Sie 1 ein, um den Webschutz zu aktivieren. Standardmäßig ist der Webschutz aktiviert.

   Hinweis

   Die Werte für Antiphishing und VPN müssen übereinstimmen. Legen Sie beide auf 0 fest, um sie zu deaktivieren, oder beide auf 1 , um sie zu aktivieren. Wenn die Werte nicht übereinstimmen, werden beide Features automatisch deaktiviert.

   Wählen Sie Weiter aus, um fortzufahren.

8. Geben Sie unter "Aufgaben" die Gruppen an, die das Profil erhalten. Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

9. Wenn Sie fertig sind, klicken Sie unter Überprüfen und erstellen auf Erstellen. Das neue Profil wird in der Liste angezeigt, wenn Sie den Richtlinientyp für das Profil auswählen, das Sie erstellt haben.

Deaktivieren des Webschutzes für vollständig verwaltete Android Enterprise-

1. Führen Sie die gleichen Konfigurationsschritte aus, die zuvor beschrieben wurden, mit dem folgenden Unterschied: Wählen Sie für Profiltyp die Option Vollständig verwaltet, dediziert und Corporate-Owned Nur Arbeitsprofil aus.

   • Um den Webschutz zu deaktivieren, geben Sie 0 sowohl für Anti-Phishing als auch für VPN ein. Um den Webschutz zu aktivieren, geben Sie für beide Werte 1 ein. Standardmäßig ist der Webschutz aktiviert.

   • Wenn Sie lediglich die Verwendung von VPNs für den Webschutz deaktivieren möchten, geben Sie folgende Konfigurationswerte ein:

     • 0 für VPN

     • 1 für Anti-Phishing

   Hinweis

   Für das Szenario zur Registrierung des unternehmenseigenen Arbeitsprofils müssen die Werte für VPN und Antiphishing übereinstimmen. Legen Sie beide auf 0 fest, um sie zu deaktivieren, oder beide auf 1 , um sie zu aktivieren. Wenn die Werte nicht übereinstimmen, werden beide Features automatisch deaktiviert.

   Für das unternehmenseigene, vollständig verwaltete Registrierungsszenario (ohne Arbeitsprofil) können VPN und Antiphishing unabhängig voneinander festgelegt werden. Jedes Feature funktioniert eigenständig.

   Hinweis

   Sie können VPN für vollständig verwaltete Android Enterprise-Geräte nicht deaktivieren, wenn Sie die Richtlinie für die automatische Einrichtung der Always-On-VPN-Gerätekonfiguration auf den registrierten Geräten konfiguriert haben.

   Wählen Sie Weiter aus, um fortzufahren.

2. Geben Sie unter "Aufgaben" die Gruppen an, die das Profil erhalten. Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

3. Wenn Sie fertig sind, klicken Sie unter Überprüfen und erstellen auf Erstellen. Das neue Profil wird in der Liste angezeigt, wenn Sie den Richtlinientyp für das Profil auswählen, das Sie erstellt haben.

Deaktivieren des Features „Webschutz“ für Android-Geräteadministratoren

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Geräte> auswählenGerätekonfiguration>verwalten> Wählen Sie auf der Registerkarte Richtliniendie Option + Erstellen aus.

3. Geben Sie die folgenden Einstellungen ein:

   • Platform: Wählen Sie Android-Geräteadministratoraus.
   • Profil: Wählen Sie benutzerdefiniert aus.

   Wählen Sie Erstellen aus.

4. Machen Sie unter Basiseinstellungen die folgenden Angaben:

   • Name: Geben Sie einen beschreibenden Namen für das Profil ein. Benennen Sie Ihre Profile, damit Sie diese später leicht wiedererkennen. Beispiel: Benutzerdefiniertes Android-Profil für Defender für Endpunkt-Webschutz.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

5. Wählen Sie unter Konfigurationseinstellungen die Option Hinzufügen aus.

   Geben Sie die Einstellungen für die Konfiguration an, die Sie bereitstellen möchten:

   • Deaktivieren Webschutzes:

     • Name: Geben Sie einen eindeutigen Namen für diese OMA-URI-Einstellung ein, damit Sie sie leicht wiederfinden können. Wählen Sie beispielsweise einen Namen wie Webschutz in Defender für Endpunkt deaktivieren.
     • Beschreibung: Geben Sie optional eine Beschreibung ein, die einen Überblick über die Einstellung und andere wichtige Details bietet.
     • OMA-URI: Eingabe ./Vendor/MSFT/DefenderATP/AntiPhishing
     • Datentyp: Wählen Sie Ganze Zahl aus der Dropdownliste aus.
     • Wert: Um den Webschutz zu deaktivieren, setzen Sie den Wert auf 0. Um den Webschutz zu aktivieren, geben Sie 1 ein, was die Standardeinstellung ist.

   • Deaktivieren Sie nur die Verwendung von VPN durch Webschutz:

     • Name: Geben Sie einen eindeutigen Namen für diese OMA-URI-Einstellung ein, damit Sie sie leicht wiederfinden können. Wählen Sie beispielsweise einen Namen wie VPNs für den Webschutz in Microsoft Defender für Endpunkt deaktivieren.
     • Beschreibung: Geben Sie optional eine Beschreibung ein, die einen Überblick über die Einstellung und andere wichtige Details bietet.
     • OMA-URI: Eingabe ./Vendor/MSFT/DefenderATP/Vpn
     • Datentyp: Wählen Sie Ganze Zahl aus der Dropdownliste aus.
     • Wert: Um den VPN-basierten Scan zu deaktivieren, setzen Sie den Wert auf 0. Um den VPN-basierten Scan zu aktivieren, geben Sie 1 ein, was die Standardeinstellung ist.

   Klicken Sie auf Hinzufügen, um die OMA-URI-Einstellungskonfiguration zu speichern, und klicken Sie dann zum Fortfahren auf Weiter.

6. Geben Sie unter "Aufgaben" die Gruppen an, die das Profil erhalten. Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

7. Wenn Sie fertig sind, klicken Sie unter Überprüfen und erstellen auf Erstellen. Das neue Profil wird in der Liste angezeigt, wenn Sie den Richtlinientyp für das Profil auswählen, das Sie erstellt haben.

Nächste Schritte

• Überwachen der Gerätekonformität status auf Risikostufen

• Beheben von mit Microsoft Defender für Endpunkt gefundenen Sicherheitsrisiken mithilfe von Intune

• Weitere Informationen finden Sie in der Dokumentation zu Microsoft Defender für Endpunkt:

  • Microsoft Defender für Endpunkt: bedingter Zugriff

  • Sicherheitsleitfaden für Defender für Endpunkt