Sicherheitskonfigurationsbeispiele für persönliches Android Enterprise-Arbeitsprofil

Zur Unterstützung des Microsoft Zero Trust-Sicherheitsmodells enthält dieser Artikel Beispielkonfigurationen für die Verwendung mit Microsoft Intune, um sowohl die Gerätekonformitätsrichtlinie als auch die Geräteeinschränkungsrichtlinie für private Android Enterprise-Mobiltelefonbenutzer zu konfigurieren. Diese Beispiele umfassen Ebenen der Gerätesicherheitskonfiguration, die mit den Zero Trust-Prinzipien übereinstimmen.

Wenn Sie diese Beispiele verwenden, arbeiten Sie mit Ihrem Sicherheitsteam zusammen, um die Bedrohungsumgebung, die Risikobereitschaft und die Auswirkungen der verschiedenen Ebenen und Konfigurationen auf die Benutzerfreundlichkeit zu bewerten. Nachdem Sie die Beispiele überprüft und an die Anforderungen Ihrer Organization angepasst haben, implementieren Sie einen Ring-Bereitstellungsansatz für erste Tests, gefolgt von der Verwendung in der Produktion.

Weitere Informationen zu den einzelnen Richtlinieneinstellungen finden Sie unter:

Hinweis

Aufgrund der Einstellungen, die für Geräte mit persönlichem Arbeitsprofil verfügbar sind, gibt es kein einfaches Sicherheitsangebot (Stufe 1). Die verfügbaren Einstellungen begründen keinen Unterschied zwischen Stufe 1 und 2.

In den Tabellen in den folgenden Abschnitten sind nur die Einstellungen aufgeführt, die in diesen Beispielen enthalten sind. Einstellungen, die nicht in den Tabellen aufgeführt sind, sind nicht konfiguriert.

Persönliches Arbeitsprofil mit der Sicherheitsstufe „Erhöht“ (Stufe 2)

Stufe 2 ist die empfohlene Mindestsicherheitskonfiguration für persönliche Geräte, auf denen Benutzer auf Geschäfts-, Schul- oder Unidaten zugreifen. Diese Konfiguration eignet sich für die meisten Mobilgerätebenutzer. Einige der Steuerelemente können sich auf die Benutzererfahrung auswirken.

Gerätekonformität (Stufe 2)

Abschnitt Einstellung Wert Anmerkungen
Geräteintegrität Gerät mit Rootzugriff Blockieren
Geräteintegrität Google Play Services ist konfiguriert Erforderlich
Geräteintegrität Aktueller Sicherheitsanbieter Erforderlich
Geräteintegrität Urteil zur Integrität der Wiedergabe Grundlegende Integrität & Geräteintegrität überprüfen Erfordern, dass Geräte die grundlegende Integritätsprüfung und die Geräteintegritätsprüfung von Play bestehen.
Geräteintegrität Überprüfen Sie die starke Integrität mit hardwaregestützten Sicherheitsfeatures Überprüfen starker Integrität Geräte müssen die strenge Integritätsprüfung von Play bestehen. Nicht alle Geräte unterstützen diese Art der Überprüfung. Intune markiert solche Geräte als nicht kompatibel.
Geräteeigenschaften Minimale Version des Betriebssystems Format: Major.Minor
Beispiel: 9.0		 Microsoft empfiehlt, die Mindesthauptversion für das Android-Betriebssystem so festzulegen, dass übereinstimmende unterstützte Android-Versionen von Microsoft-Apps verwendet werden können. OEMs und Geräte, die den Anforderungen für "Android Enterprise Recommended" entsprechen, müssen die aktuelle Versandversion und ein Upgrade auf die nächste Version unterstützen. Aktuell empfiehlt Android für Wissensarbeiter Android 9.0 und höher.

Unter Anforderungen für „Android Enterprise Recommended“ finden Sie die aktuellen Empfehlungen von Android.
Systemsicherheit Verschlüsselung des Datenspeichers auf dem Gerät erforderlich Erforderlich
Systemsicherheit Apps von unbekannten Quellen blockieren Blockieren
Systemsicherheit Laufzeitintegrität der Unternehmensportal-App Erforderlich
Systemsicherheit USB-Debugging auf Gerät blockieren Blockieren Diese Einstellung blockiert zwar das Debuggen mithilfe eines USB-Geräts, deaktiviert jedoch auch die Möglichkeit, Protokolle zu sammeln, die bei der Problembehandlung hilfreich sein können.
Systemsicherheit Mindestens erforderliche Sicherheitspatchebene Nicht konfiguriert Android-Geräte können monatliche Sicherheitsupdates erhalten, aber das Release hängt von den OEMs und/oder Netzbetreibern ab. Unternehmen sollten dafür sorgen, dass bereitgestellte Android-Geräte Sicherheitsupdates erhalten, bevor diese Einstellung implementiert wird. Unter Android-Sicherheitsbulletins finden Sie die aktuellen Patchreleases.
Systemsicherheit Erfordern eines Kennworts zum Entsperren von Mobilgeräten Erforderlich
Systemsicherheit Geforderter Kennworttyp Numerisch, komplex Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Systemsicherheit Minimale Kennwortlänge 6 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Systemsicherheit Maximaler Zeitraum der Inaktivität (in Minuten) bis zur Anforderung eines Kennworts 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Aktionen bei Nichteinhaltung Gerät als nicht konform markieren Sofort Standardmäßig ist die Richtlinie so konfiguriert, dass das Gerät als nicht konform markiert wird. Weitere Aktionen sind verfügbar. Weitere Informationen finden Sie unter Konfigurieren von Aktionen für nicht konforme Geräte in Intune.

Geräteeinschränkungen (Ebene 2)

Abschnitt Einstellung Wert Anmerkungen
Arbeitsprofileinstellungen Kopieren und Einfügen zwischen Arbeitsprofilen und persönlichen Profilen Blockieren
Arbeitsprofileinstellungen Datenaustausch zwischen Arbeitsprofilen und persönlichen Profilen Apps in einem Arbeitsprofil können Freigabeanforderungen vom persönlichen Profil verarbeiten
Arbeitsprofileinstellungen Arbeitsprofilbenachrichtigungen bei Gerätesperre Nicht konfiguriert Durch das Blockieren dieser Einstellung wird sichergestellt, dass vertrauliche Daten nicht in Benachrichtigungen zu Arbeitsprofilen verfügbar gemacht werden, da dies die Benutzerfreundlichkeit beeinträchtigen kann.
Arbeitsprofileinstellungen Standardmäßige App-Berechtigungen Gerätestandard Administratoren müssen die Berechtigungen überprüfen und anpassen, die von den von ihnen bereitgestellten Apps gewährt werden.
Arbeitsprofileinstellungen Konten hinzufügen und entfernen Blockieren
Arbeitsprofileinstellungen Kontaktfreigabe über Bluetooth Aktivieren Standardmäßig ist der Zugriff auf Arbeitskontakte auf anderen Geräten, z. B. Automobilen, über die Bluetooth-Integration nicht verfügbar. Durch Aktivieren dieser Einstellung werden die Freisprechfunktionen für Benutzer verbessert. Allerdings kann es sein, dass das Bluetooth-Gerät die Kontakte bei der ersten Verbindung zwischenspeichert. Organisationen müssen bei der Implementierung dieser Einstellung die Nutzbarkeitsszenarien mit Datenschutzbedenken abwägen.
Arbeitsprofileinstellungen Bildschirmaufnahme Blockieren
Arbeitsprofileinstellungen Im persönlichen Profil nach Geschäftskontakten suchen Nicht konfiguriert Das Blockieren des Zugriffs von Benutzern auf Arbeitskontakte aus dem persönlichen Profil kann sich auf bestimmte Usability-Szenarien auswirken, wie z. B. Textnachrichten und Dialer-Erfahrungen innerhalb des persönlichen Profils. Organisationen müssen bei der Implementierung dieser Einstellung die Nutzbarkeitsszenarien mit Datenschutzbedenken abwägen.
Arbeitsprofileinstellungen Widgets aus Arbeitsprofil-Apps zulassen Aktivieren
Arbeitsprofileinstellungen Arbeitsprofilkennwort erforderlich Erforderlich
Arbeitsprofileinstellungen Minimale Kennwortlänge 6 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Maximaler Zeitraum der Inaktivität (in Minuten) bis zur Sperrung des Arbeitsprofils 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Anzahl von Anmeldefehlern, bevor das Arbeitsprofil zurückgesetzt wird 10 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Kennwortablauf (Tage) Nicht konfiguriert Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Geforderter Kennworttyp Numerisch, komplex
Arbeitsprofileinstellungen Wiederverwendung vorheriger Kennwörter verhindern Nicht konfiguriert Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Gerätekennwort Minimale Kennwortlänge 6 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Gerätekennwort Maximaler Zeitraum der Inaktivität (in Minuten) bis zur Bildschirmsperrung 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Gerätekennwort Anzahl von fehlgeschlagenen Anmeldungen, bevor das Gerät zurückgesetzt wird 10 Mit dieser Festlegung wird ein Löschen des Arbeitsprofils und nicht ein Zurücksetzen des Geräts ausgelöst.
Gerätekennwort Kennwortablauf (Tage) Nicht konfiguriert Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Gerätekennwort Geforderter Kennworttyp Numerisch, komplex
Gerätekennwort Wiederverwendung vorheriger Kennwörter verhindern Nicht konfiguriert Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Systemsicherheit Bedrohungsüberprüfung für Apps Erforderlich Diese Einstellung sorgt dafür, dass die Verify Apps-Überprüfung von Google für Endbenutzergeräte aktiviert ist. Wenn dies konfiguriert ist, wird der Endbenutzer für den Zugriff gesperrt, bis er das App-Scannen von Google auf seinem Android-Gerät aktiviert.
Systemsicherheit App-Installationen aus unbekannten Quellen im persönlichen Profil verhindern Blockieren

Hinweis

Wenn ein persönliches Arbeitsprofil aktiviert ist, ist "One Lock" standardmäßig so konfiguriert, dass Geräte- und Arbeitsprofil-Kennungen kombiniert werden. One Lock kann bei Bedarf unter "Arbeitsprofileinstellungen" deaktiviert werden, um Arbeitsprofil- und Gerätekennungen zu trennen. Weitere Informationen finden Sie in der Einstellung Eine Sperre für Gerät und Arbeitsprofil im Abschnitt "Kennwort für Arbeitsprofil" in privaten Android Enterprise-Geräten.

Persönliches Arbeitsprofil mit der Sicherheitsstufe „Hoch“ (Stufe 3)

Stufe 3 ist die empfohlene Konfiguration für Geräte, die von Benutzern oder Gruppen mit besonders hohem Risiko verwendet werden. Beispielsweise Benutzer, die mit äußerst sensiblen Daten umgehen, bei denen eine unbefugte Preisgabe erhebliche materielle Verluste verursacht. Eine Organization, die wahrscheinlich von gut finanzierten und raffinierten Gegnern ins Visier genommen wird, verdient zusätzliche Einschränkungen.

Diese Konfiguration erweitert die Konfiguration der Stufe 2 um Folgendes:

  • Implementieren von Mobile Threat Defense oder Microsoft Defender for Endpoint.
  • Einschränken von Szenarien mit persönlichen Arbeitsprofildaten.
  • Erzwingen strengerer Kennwortrichtlinien.

Die Einstellungen der Ebene 3 enthalten alle Richtlinieneinstellungen, die für Ebene 2 empfohlen werden. Die in den folgenden Abschnitten aufgeführten Einstellungen umfassen jedoch nur die Einstellungen, die hinzugefügt oder geändert wurden. Diese Einstellungen können erhebliche Auswirkungen auf Benutzer oder Anwendungen haben. Sie erzwingen ein Sicherheitsniveau, das eher den Risiken entspricht, denen die anvisierten Organisationen ausgesetzt sind.

Gerätekonformität (Stufe 3)

Abschnitt Einstellung Wert Anmerkungen
Microsoft Defender für Endpunkt Erfordern, dass das Gerät höchstens das angegebene Computerrisiko aufweist Deaktivieren Diese Einstellung erfordert Microsoft Defender für Endpunkt. Weitere Informationen finden Sie unter Erzwingen der Konformität für Microsoft Defender für Endpunkt mit bedingtem Zugriff in Intune.

Kunden sollten die Implementierung von Microsoft Defender für Endpunkt oder einer Mobile Threat Defense-Lösung in Betracht ziehen. Es ist nicht erforderlich, beide bereitzustellen.
Geräteintegrität Anfordern, dass das Gerät höchstens der angegebenen Gerätebedrohungsstufe entspricht Gesichert Diese Einstellung erfordert ein Mobile Threat Defense-Produkt. Weitere Informationen finden Sie unter Mobile Threat Defense für registrierte Geräte.

Kunden sollten die Implementierung von Microsoft Defender für Endpunkt oder einer Mobile Threat Defense-Lösung in Betracht ziehen. Es ist nicht erforderlich, beide bereitzustellen.
Geräteeigenschaften Minimale Version des Betriebssystems Format: Major.Minor
Beispiel: 11.0		 Microsoft empfiehlt, die Mindesthauptversion für das Android-Betriebssystem so festzulegen, dass übereinstimmende unterstützte Android-Versionen von Microsoft-Apps verwendet werden können. OEMs und Geräte, die den Anforderungen für "Android Enterprise Recommended" entsprechen, müssen die aktuelle Versandversion und ein Upgrade auf die nächste Version unterstützen. Aktuell empfiehlt Android für Wissensarbeiter Android 9.0 und höher.

Unter Anforderungen für „Android Enterprise Recommended“ finden Sie die aktuellen Empfehlungen von Android.
Systemsicherheit Anzahl von Tagen bis zum Kennwortablauf 365 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Systemsicherheit Anzahl vorheriger Kennwörter, deren Wiederverwendung verhindert wird 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.

Geräteeinschränkungen (Ebene 3)

Abschnitt Einstellung Wert Anmerkungen
Arbeitsprofileinstellungen Arbeitsprofilbenachrichtigungen bei Gerätesperre Blockieren Durch das Blockieren dieser Einstellung wird sichergestellt, dass vertrauliche Daten nicht in Benachrichtigungen zu Arbeitsprofilen verfügbar gemacht werden, da dies die Benutzerfreundlichkeit beeinträchtigen kann.
Arbeitsprofileinstellungen Kontaktfreigabe über Bluetooth Nicht konfiguriert Standardmäßig ist der Zugriff auf Arbeitskontakte auf anderen Geräten, z. B. Automobilen, über die Bluetooth-Integration nicht verfügbar. Durch Aktivieren dieser Einstellung werden die Freisprechfunktionen für Benutzer verbessert. Allerdings kann es sein, dass das Bluetooth-Gerät die Kontakte bei der ersten Verbindung zwischenspeichert. Organisationen müssen bei der Implementierung dieser Einstellung die Nutzbarkeitsszenarien mit Datenschutzbedenken abwägen.
Arbeitsprofileinstellungen Im persönlichen Profil nach Geschäftskontakten suchen Blockieren Das Blockieren des Zugriffs von Benutzern auf Arbeitskontakte aus dem persönlichen Profil kann sich auf bestimmte Usability-Szenarien auswirken, wie z. B. Textnachrichten und Dialer-Erfahrungen innerhalb des persönlichen Profils. Organisationen müssen bei der Implementierung dieser Einstellung die Nutzbarkeitsszenarien mit Datenschutzbedenken abwägen.
Arbeitsprofileinstellungen Widgets aus Arbeitsprofil-Apps zulassen Nicht konfiguriert
Arbeitsprofileinstellungen Anzahl von Anmeldefehlern, bevor das Arbeitsprofil zurückgesetzt wird 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Kennwortablauf (Tage) 365 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Wiederverwendung vorheriger Kennwörter verhindern 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Arbeitsprofileinstellungen Smart Lock und andere Vertrauens-Agents Blockieren
Gerätekennwort Anzahl von fehlgeschlagenen Anmeldungen, bevor das Gerät zurückgesetzt wird 5 Mit dieser Festlegung wird ein Löschen des Arbeitsprofils und nicht ein Zurücksetzen des Geräts ausgelöst.
Gerätekennwort Kennwortablauf (Tage) 365 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.
Gerätekennwort Wiederverwendung vorheriger Kennwörter verhindern 5 Organisationen müssen diese Einstellung möglicherweise aktualisieren, damit sie ihrer Kennwortrichtlinie entspricht.

Konfigurieren von Sicherheitseinstellungen für vollständig verwaltete Geräte

  • Last updated on