Schützen von Daten und Geräten mit Microsoft Intune

Microsoft Intune hilft Ihnen, verwaltete Geräte sicher und auf dem neuesten Stand zu halten und gleichzeitig die Daten Ihrer organization vor kompromittierten Geräten zu schützen. Kontrollieren Sie, was Benutzer mit Organisationsdaten auf verwalteten und nicht verwalteten Geräten tun, und blockieren Sie den Zugriff auf Daten von potenziell kompromittierten Geräten.

In diesem Artikel werden die integrierten Sicherheitsfunktionen und Partnertechnologien von Intune vorgestellt, die zusammenarbeiten, um Zero Trust-Lösungen für Ihre Organization zu unterstützen. Als Übersicht werden wichtige Schutzfunktionen beschrieben, und Links zu ausführlicher Dokumentation für Konfigurations- und Bereitstellungsleitfäden.

Intune kann auch in Drittanbieterprodukte integriert werden, die Gerätekonformität und Mobile Threat Defense (MTD)-Signale bereitstellen.

Plattformunterstützung

Im Microsoft Intune Admin Center unterstützt Intune verwaltete Geräte, auf denen Folgendes ausgeführt wird:

  • Android
  • iOS/iPadOS
  • Linux
  • macOS
  • Windows

Wenn Sie Konfigurations-Manager zum Verwalten lokaler Geräte verwenden, können Sie außerdem Intune-Richtlinien über die Mandantenanfügung oder Co-Verwaltung auf diese Geräte erweitern.

Bereitstellen von Sicherheitsrichtlinien zum Schutz von Geräten

Bereitstellen von Richtlinien zum Konfigurieren und Erzwingen der Sicherheit auf registrierten Geräten. Die folgenden Richtlinientypen arbeiten zusammen, um Geräte zu schützen:

Endpunktsicherheitsrichtlinien – Fokussierte Sicherheitsrichtlinien für bestimmte Schutzbereiche:

  • Kontoschutz – Windows Hello for Business, Credential Guard und Windows LAPS
  • Antivirus – Microsoft Defender Antiviruskonfiguration und -ausschlüsse
  • App Control for Business - Anwendungszulassungsliste mit Windows Defender Anwendungssteuerung
  • Reduzierung der Angriffsfläche - Exploit-Schwachstellen und Angriffsvektoren reduzieren
  • Datenträgerverschlüsselung – BitLocker, Verschlüsselung personenbezogener Daten (PDE) und FileVault
  • Endpunkterkennung und -reaktion – Microsoft Defender für Endpunkt Onboarding
  • Firewall – Netzwerkschutz und Firewallregeln

Gerätekonfigurationsrichtlinien – Umfassendere Geräteeinstellungen, einschließlich Endpunktschutz, Zertifikate, Softwareupdates und VPN. Verwenden Sie diese Option, wenn Sie Sicherheitseinstellungen mit Konfigurationen der Gerätefunktionalität kombinieren müssen.

Gerätekonformitätsrichtlinien: Definieren Sie Geräteanforderungen wie Betriebssystemversionen, Verschlüsselungsstatus und Bedrohungsstufen. Nicht konforme Geräte lösen Warnungen aus und können in Kombination mit bedingtem Zugriff für Organisationsressourcen blockiert werden.

Wichtige Sicherheitsfunktionen

Die folgenden Sicherheitsbereiche können über diese Richtlinien verwaltet werden:

  • Authentication and identity

    • Zertifikate – Stellen Sie Zertifikate mithilfe von SCEP- und PKCS-Profilen bereit, oder verwenden Sie Microsoft Cloud PKI für eine vereinfachte cloudbasierte Zertifikatverwaltung ohne lokale Infrastruktur. Konfigurieren abgeleiteter Anmeldeinformationen für Smartcardszenarien.
    • Moderne Authentifizierung – Aktivieren Sie Windows Hello for Business für die kennwortlose Anmeldung. Konfigurieren Sie Plattform-SSO für macOS , um die Authentifizierung über Apps und Dienste hinweg zu stärken.
    • Mehrstufige Authentifizierung: Verwenden Sie den bedingten Zugriff von Microsoft Entra, um MFA zu erfordern, und verwenden Sie Intune, um Geräte-PIN/Kennwort und andere anmeldebezogene Einstellungen nach Bedarf zu konfigurieren.

  • Datenverschlüsselung

  • Softwareupdates – Steuern, wann und wie Geräte Updates erhalten:

  • Anwendungssteuerung : Verwenden Sie App Control for Business-Richtlinien , um zu definieren, welche Anwendungen auf Windows-Geräten ausgeführt werden können.

  • Verringerung der Angriffsfläche – Stellen Sie ASR-Richtlinien bereit, um Sicherheitsrisiken durch Exploit-Schutz, Gerätesteuerung, Anwendungsisolation und ASR-Regeln zu verringern.

  • Sicherheitsbaselines: Stellen Sie vorkonfigurierte Sicherheitsbaselines für Windows-Geräte, Microsoft Edge und Microsoft Defender for Endpoint bereit, die die Empfehlungen des Microsoft-Sicherheitsteams widerspiegeln.

  • Netzwerksicherheit

    • VPN-Profile – Konfigurieren Sie VPN-Verbindungen für den sicheren Remotezugriff auf Organisationsressourcen.
    • Firewallrichtlinien – Verwalten Sie den integrierten Firewallschutz auf Windows- und macOS-Geräten.

  • Privileged Access Management

    • Windows LAPS – Verwalten Sie lokale Administratorkennwörter mit automatischer Rotation und sicherer Sicherung in Active Directory oder Microsoft Entra.
    • Endpoint Privilege Management: Führen Sie Benutzer als Standardkonten aus, während erhöhte Rechte für genehmigte Anwendungen zugelassen werden.

Schützen von Daten mit App-Schutzrichtlinien

Schützen Sie Organisationsdaten auf Anwendungsebene mithilfe von App-Schutzrichtlinien mit Intune-verwalteten Apps. Diese Schutzmaßnahmen funktionieren sowohl auf registrierten als auch auf nicht registrierten Geräten und unterstützen BYOD-Szenarien (Bring Your Own Device).

Intune verwaltete Apps integrieren das Intune App SDK oder verwenden die Intune App Wrapping Tool. Eine Liste der unterstützten Apps finden Sie unter Intune-geschützte Apps.

Wenn Sie verwaltete Apps benötigen (z. B. durch Verwendung von App-basierten Richtlinien für bedingten Zugriff), können Benutzer nur über diese verwalteten Apps auf Organisationsdaten zugreifen, während personenbezogene Daten unberührt bleiben.

Wichtige Funktionen von App-Schutzrichtlinien:

  • Verlangen Sie eine PIN oder biometrische Authentifizierung für den Zugriff auf Organisationsdaten.
  • Blockieren Sie das Kopieren/Einfügen, Screenshots und die Datenübertragung in nicht verwaltete Apps.
  • Verhindern Sie, dass Organisationsdaten im persönlichen Speicher gespeichert werden.
  • Verschlüsselung ruhender Organisationsdaten erzwingen.
  • Löschen Sie Unternehmensdaten remote, wenn Geräte verloren gehen oder Benutzer das Land verlassen.

Verwenden von Geräteaktionen zum Schützen von Geräten und Daten

Führen Sie sofortige Geräteaktionen aus, um auf Sicherheitsvorfälle zu reagieren oder die Gerätesicherheit aufrechtzuerhalten. Im Gegensatz zu Richtlinien, die fortlaufende Konfigurationen verwalten, werden Geräteaktionen einmal ausgeführt, wenn sie aufgerufen werden. Aktionen werden für Onlinegeräte sofort wirksam, oder beim nächsten Einchecken für Offlinegeräte. Massengeräteaktionen können auf mehrere Geräte gleichzeitig abzielen.

Allgemeine Sicherheitsaktionen:

  • Remotesperre : Sperren Sie ein Gerät aus der Ferne, um unbefugten Zugriff zu verhindern.
  • Zurücksetzen - Zurücksetzen eines Geräts auf die Werkseinstellungen, wobei alle Daten und Einstellungen entfernt werden.
  • Zurückziehen – Organisationsdaten entfernen und dabei personenbezogene Daten beibehalten.
  • BitLocker-Schlüsselrotation (Windows): Rotieren Sie Verschlüsselungsschlüssel, um die Sicherheit zu erhöhen.
  • Antivirus-Scan (Windows): Führen Sie vollständige oder schnelle Schadsoftwarescans durch.
  • Defender-Intelligenz aktualisieren – Bedrohungsdefinitionen aktualisieren.
  • Aktivierungssperre deaktivieren (iOS/iPadOS) – Aktivierungssperre zur Wiederverwendung des Geräts entfernen.

Diese Aktionen sind auch für Geräte verfügbar, die über Konfigurations-Manager verwaltet werden, wenn Co-Management oder Mandantenanfügung verwendet wird.

Integration mit Partnertechnologien

Erweitern Sie die Schutzfunktionen von Intune durch Integrationen mit Microsoft-Technologien und Drittanbieterpartnern.

Compliance-Partner

Integrieren Sie Gerätekonformitätsdaten aus MDM-Lösungen von Drittanbietern mit Microsoft Entra ID. Auf diese Weise können Organisationen mit gemischten Verwaltungsumgebungen einheitliche Richtlinien für den bedingten Zugriff auf allen Geräten erzwingen, unabhängig davon, welche MDM-Lösung sie verwaltet.

Konfigurations-Manager

Erweitern Sie die cloudbasierten Sicherheitsrichtlinien von Intune auf lokale und hybride Geräte durch Co-Verwaltung oder Mandantenanfügung. Diese Integration bietet eine einheitliche Verwaltungserfahrung für Organisationen, die auf Cloud-Management umsteigen oder hybride Infrastrukturen aufrechterhalten:

  • Gemeinsame Verwaltung – Verwalten Sie Windows-Geräte gleichzeitig mit Konfigurations-Manager und Intune, mit Workloadschiebereglern, um zu steuern, welcher Dienst bestimmte Funktionen verwaltet.
  • Mandantenanschluss – Synchronisieren Sie Konfigurations-Manager-Geräte mit dem Microsoft Intune Admin Center für zentrale Transparenz und Verwaltung.

Beide Ansätze aktivieren Intune-Sicherheitsrichtlinien auf Konfigurations-Manager-Geräten, einschließlich Endpunktsicherheitsrichtlinien, Konformitätsrichtlinien, Zertifikatbereitstellung (SCEP/PKCS) und Sicherheitsbaselines. Dadurch wird ein konsistenter Sicherheitsstatus für cloud- und lokal verwaltete Geräte geschaffen.

Mobile Threat Defense

Mobile Threat Defense (MTD)-Partner erweitern die Bedrohungserkennung über die integrierten Funktionen von Microsoft hinaus, indem sie nach Bedrohungen auf Geräteebene, Netzwerkbedrohungen, App-basierten Bedrohungen und Phishingversuchen suchen. MTD-Apps bewerten kontinuierlich das Geräterisiko und melden Bedrohungsstufen an Intune, wodurch risikobasierte Zugriffsentscheidungen über Konformitätsrichtlinien, App-Schutzrichtlinien und bedingten Zugriff ermöglicht werden.

Für registrierte Geräte stellt Intune MTD-Apps bereit und verwaltet sie, während die Bewertungen der Bedrohungsstufe für die Gerätekonformitätsbewertungen verwendet werden. Geräte, die akzeptable Risikoschwellenwerte überschreiten, können für den Zugriff auf Organisationsressourcen gesperrt werden, bis Bedrohungen behoben sind.

Bei nicht registrierten Geräten in BYOD-Szenarien informieren die MTD-Bedrohungsstufen die Entscheidungen der App-Schutzrichtlinie und blockieren den Zugriff auf Organisationsdaten innerhalb verwalteter Apps, wenn das Geräterisiko zu hoch ist.

Intune unterstützt Microsoft Defender für Endpunkt mit erweiterten Integrationsfunktionen und mehreren MTD-Drittanbietern, um unterschiedliche Sicherheitsanforderungen zu erfüllen.

Microsoft Defender für Endpunkt

Microsoft Defender für Endpoint ist unter Windows, macOS, Linux, Android und iOS/iPadOS tief in Intune integriert, wodurch eine einheitliche Sicherheitsplattform entsteht, die Geräteverwaltung mit erweitertem Bedrohungsschutz kombiniert. Diese Integration ermöglicht:

  • Threat Intelligence und Risikobewertung – Die kontinuierliche Bedrohungserkennung und die Geräterisikobewertungen von Defender fließen direkt in Intune-Konformitätsrichtlinien und bedingte Zugriffsentscheidungen ein und ermöglichen eine dynamische, risikobasierte Zugriffssteuerung.
  • Verbessertes Endpunktsicherheitsmanagement: Konfigurieren und Bereitstellen von Defender-Funktionen über Intune-Richtlinien, einschließlich Antiviruseinstellungen, EDR-Onboarding, Regeln zur Verringerung der Angriffsfläche, kontrollierte Konfiguration (die auch Manipulationsschutz unterstützt), Webschutz und Gerätesteuerung
  • Verwaltung - von SicherheitsrisikenSicherheitsaufgaben erstellen einen Workflow für die Zusammenarbeit, in dem das Bedrohungs- und Sicherheitsrisikomanagement von Defender gefährdete Geräte identifiziert und Anleitungen zur Behebung bereitstellt, auf die Intune-Administratoren direkt reagieren können
  • Microsoft Tunnel – Defender für Endpunkt dient als VPN-Client für Microsoft Tunnel auf Android-Geräten und bietet sicheren Remotezugriff, ohne dass eine separate Defender-Lizenzierung erforderlich ist

Bedingter Zugriff

Der bedingte Zugriff ist eine Funktion von Microsoft Entra, die als Erzwingungsmodul für Zero Trust-Zugriffsrichtlinien dient. Es wertet Signale von Intune und anderen Quellen aus, um Zugriffsentscheidungen in Echtzeit zu treffen und sicherzustellen, dass nur vertrauenswürdige Benutzer auf kompatiblen Geräten auf Organisationsressourcen zugreifen können.

Der bedingte Zugriff wertet mehrere Signale aus:

  • Status der Gerätekonformität aus Intune-Richtlinien
  • Geräterisikostufen von Microsoft Defender für Endpunkt- und MTD-Partnern
  • Benutzer- und Anmelderisiko durch Microsoft Entra ID Protection
  • Standort, Geräteplattform und Anwendung, auf die zugegriffen wird

Der bedingte Zugriff mit Intune ermöglicht:

  • Gerätebasierte Richtlinien: Geräte müssen Compliance-Anforderungen erfüllen, bevor auf Organisationsressourcen zugegriffen werden kann.
  • App-basierte Richtlinien: Stellen Sie sicher, dass nur Anwendungen, die durch Intune-App-Schutzrichtlinien geschützt sind, auf Microsoft 365 und andere Dienste zugreifen können.
  • Risikobasierter Zugriff - Passen Sie die Zugriffsanforderungen basierend auf Echtzeit-Bedrohungsinformationen von Defender- und MTD-Partnern dynamisch an.

Der bedingte Zugriff funktioniert über verwaltete und nicht verwaltete Geräte hinweg und hilft bei der Schaffung einer Zugriffssteuerungsebene, die sich an sich ändernde Bedrohungsbedingungen anpasst.

Endpoint Privilege Management hinzufügen

Endpoint Privilege Management (EPM) erzwingt den geringstprivilegierten Zugriff für Windows-Benutzer, indem sie als Standardbenutzer ausgeführt werden, während für genehmigte Anwendungen vorübergehende erhöhte Rechte zugelassen werden. Dieser Ansatz reduziert die Angriffsfläche, indem er pauschalen Administratorzugriff verhindert.

Funktionsweise von EPM:

  • Benutzer werden standardmäßig als Standardkonten ausgeführt.
  • Rechteregeln definieren, welche Anwendungen mit erhöhten Berechtigungen ausgeführt werden können.
  • Anwendungen werden mithilfe von Dateihashes, Zertifikaten oder anderen Kriterien überprüft.
  • Häufige Szenarien mit erhöhten Rechten: Anwendungsinstallationen, Treiberupdates, Windows-Diagnose.

Hinweis

EPM ist eine erweiterte Funktion von Microsoft Intune für Windows-Geräte und erfordert zusätzliche Lizenzierungen, die über Microsoft Intune hinausgehen.

Nächste Schritte

Bauen Sie Ihren Sicherheitsstatus mit Intune aus:

  • Last updated on