Schritt 2 – Hinzufügen, Konfigurieren und Schützen von Apps mit Intune

Der nächste Schritt bei der Bereitstellung von Intune besteht darin, Apps hinzuzufügen und zu schützen, die auf Daten der Organization zugreifen.

Die Verwaltung von Anwendungen auf Geräten in Ihrer Organization ist ein zentraler Bestandteil eines sicheren und produktiven Unternehmensökosystems. Sie können Microsoft Intune verwenden, um die Apps zu verwalten, die von den Mitarbeitern Ihres Unternehmens verwendet werden. Durch die Verwaltung von Apps können Sie steuern, welche Apps Ihr Unternehmen verwendet, sowie die Konfiguration und den Schutz der Apps. Diese Funktion wird als Mobile Application Management (MAM) bezeichnet. MAM in Intune wurde entwickelt, um Organization-Daten auf Anwendungsebene zu schützen, einschließlich benutzerdefinierter Apps und Store-Apps. Die App-Verwaltung kann auf unternehmenseigenen sowie persönlichen Geräten verwendet werden. Bei der Verwendung mit persönlichen Geräten werden nur organisationsbezogene Zugriffe und Daten verwaltet. Diese Art der App-Verwaltung wird als MAM ohne Registrierung oder aus Endbenutzersicht als Bring Your Own Device (BYOD) bezeichnet.

MAM-Konfigurationen

Wenn Apps ohne Einschränkungen verwendet werden, können Unternehmensdaten und private Daten vermischt werden. Unternehmensdaten können damit an Speicherorten wie dem persönlichen Speicher abgelegt oder an Apps außerhalb Ihres Zuständigkeitsbereichs übermittelt werden, was Datenverlust bedeuten würde. Einer der Hauptgründe für die Verwendung von MAM ohne Geräteregistrierung oder Intune MDM + MAM ist der Schutz der Daten Ihrer Organization.

Microsoft Intune unterstützt zwei MAM-Konfigurationen:

• MAM ohne Geräteverwaltung
• MAM mit Geräteverwaltung

MAM ohne Geräteverwaltung

Diese Konfiguration ermöglicht die Verwaltung der Apps Ihrer organization durch Intune, registriert die Geräte jedoch nicht für die Verwaltung durch Intune. Diese Konfiguration wird häufig als MAM ohne Geräteregistrierung bezeichnet. IT-Administratoren können Apps mithilfe von MAM mithilfe von Intune-Konfigurations- und Schutzrichtlinien auf Geräten verwalten, die nicht bei der Intune-Geräteverwaltung für Mobilgeräte (MDM) registriert sind.

Mobile Anwendungsverwaltung (Mobile Application Management, MAM) ist ideal, um Organization-Daten auf mobilen Geräten zu schützen, die von Mitgliedern Ihrer organization sowohl für private als auch für geschäftliche Aufgaben verwendet werden. Während Sie sicherstellen, dass Ihre Mitglieder Ihrer Organization produktiv sein können, möchten Sie Datenverluste verhindern, absichtlich und unbeabsichtigt. Sie möchten auch Unternehmensdaten schützen, auf die von Geräten zugegriffen wird, die nicht von Ihnen verwaltet werden. MAM ermöglicht es Ihnen, die Daten Ihrer Organisation innerhalb einer Anwendung zu verwalten und zu schützen.

Bei BYOD-Geräten, die nicht in einer MDM-Lösung registriert sind, können App-Schutzrichtlinien zum Schutz von Unternehmensdaten auf App-Ebene beitragen. Es gibt jedoch einige Einschränkungen, die Sie kennen sollten:

• Sie können auf dem Gerät keine Apps bereitstellen. Der Endbenutzer muss die Apps aus dem Store beziehen.
• Sie können auf diesen Geräten keine Zertifikatprofile bereitstellen.
• Sie können auf diesen Geräten keine unternehmensweiten WLAN- und VPN-Einstellungen bereitstellen.

Weitere Informationen zum App-Schutz in Intune finden Sie unter Übersicht über App-Schutz-Richtlinien.

MAM mit Geräteverwaltung

Mit dieser Konfiguration können die Apps und Geräte Ihrer Organization verwaltet werden. Diese Konfiguration wird häufig als MAM + MDM bezeichnet. IT-Administratoren können Apps mithilfe von MAM auf Geräten verwalten, die bei Intune MDM registriert sind.

Eine MDM-Lösung stellt zusätzlich zu MAM sicher, dass das Gerät geschützt ist. So können Sie beispielsweise die Eingabe einer PIN für den Zugriff auf das Gerät anfordern, oder Sie können verwaltete Apps auf dem Gerät bereitstellen. Sie können Apps auch über die MDM-Lösung auf Geräten bereitstellen, um mehr Kontrolle über die App-Verwaltung zu haben.

Es gibt weitere Vorteile bei der Verwendung einer MDM mit App-Schutzrichtlinien, und Unternehmen können App-Schutzrichtlinien sowohl mit als auch ohne MDM gleichzeitig verwenden. Beispielsweise könnte ein Mitglied Ihrer Organization sowohl über ein von der Firma ausgegebenes Telefon als auch über ein eigenes persönliches Tablet verfügen. Das Firmentelefon kann bei MDM registriert und durch App-Schutzrichtlinien geschützt werden, während das persönliche Gerät nur durch App-Schutzrichtlinien geschützt ist.

Auf registrierten Geräten, die einen MDM-Dienst verwenden, können App-Schutzrichtlinien eine zusätzliche Schutzebene hinzufügen. Ein Benutzer meldet sich z. B. mit den Anmeldeinformationen seines Unternehmens bei einem Gerät an. Während der Verwendung von Organisationsdaten steuern App-Schutzrichtlinien, wie die Daten gespeichert und freigegeben werden. Wenn sich Benutzer mit ihrer persönlichen Identität anmelden, werden dieselben Schutzmaßnahmen (Zugriff und Einschränkungen) nicht angewendet. Auf diese Weise hat die IT-Abteilung die Kontrolle über Organisationsdaten, während der Endbenutzer Zugriff und Schutz seiner persönlichen Daten verwaltet.

Die MDM-Lösung bietet einen Mehrwert durch Folgendes:

• Registrieren das Gerät
• Stellt die Apps auf dem Gerät bereit
• Sorgt für kontinuierliche Gerätekonformität und -verwaltung

Die App-Schutzrichtlinien bieten einen Mehrwert durch Folgendes:

• Schutz der Unternehmensdaten vor dem Zugriff durch Verbraucher-Apps und -Dienste
• Anwenden von Einschränkungen, z. B. für Speichern unter, Zwischenablage oder PIN, auf Client-Apps
• Löschen von Unternehmensdaten aus Apps bei Bedarf, ohne die Apps vom Gerät zu entfernen

Vorteile von MAM mit Intune

Wenn Apps in Intune verwaltet werden, können Administratoren folgende Aktionen ausführen:

• Schützen von Unternehmensdaten auf App-Ebene. Sie können Benutzergruppen und Geräten mobile Apps hinzufügen und zuweisen. So können Ihre Unternehmensdaten auf App-Ebene geschützt werden. Sie können Unternehmensdaten sowohl auf verwalteten als auch auf nicht verwalteten Geräten schützen, da für die Verwaltung mobiler Apps keine Geräteverwaltung erforderlich ist. Bei der Verwaltung wird die Benutzeridentität in den Mittelpunkt gestellt, wodurch sich die Geräteverwaltung erübrigt.
• Konfigurieren Sie Apps so, dass sie mit bestimmten aktivierten Einstellungen gestartet oder ausgeführt werden. Darüber hinaus können Sie vorhandene Apps aktualisieren, die bereits auf dem Gerät vorhanden sind.
• Weisen Sie Richtlinien zu, um den Zugriff einzuschränken und zu verhindern, dass Daten außerhalb Ihrer organization verwendet werden. Sie wählen die Einstellung für diese Richtlinien basierend auf den Anforderungen Ihrer Organization aus. Sie haben beispielsweise folgende Möglichkeiten:
  • Anfordern einer PIN, um eine App in einem Arbeitskontext zu öffnen.
  • Ausführen verwalteter Apps auf Geräten mit Jailbreak oder Rootzugriff blockieren
  • Steuern der Freigabe von Daten zwischen Apps.
  • Verhindern Sie das Speichern von Unternehmens-App-Daten an einem persönlichen Speicherort, indem Sie Datenverschiebungsrichtlinien wie "Kopien von Organisationsdaten speichern" und "Ausschneiden, Kopieren und Einfügen einschränken" verwenden.
• Unterstützen Sie Apps auf einer Vielzahl von Plattformen und Betriebssystemen. Jede Plattform ist anders. Intune stellt verfügbare Einstellungen speziell für jede unterstützte Plattform bereit.
• Anzeigen von Berichten darüber, welche Apps verwendet werden, und Nachverfolgen ihrer Nutzung. Darüber hinaus bietet Intune Endpunktanalysen, mit denen Sie Probleme bewerten und lösen können.
• Selektive Löschungen ausführen, indem sie nur Organisationsdaten aus Apps entfernen.
• Stellen Sie sicher, dass personenbezogene Daten von verwalteten Daten getrennt sind. Die Produktivität der Endbenutzer wird nicht beeinträchtigt, und Richtlinien werden nicht angewendet, wenn die App in einem privaten Kontext verwendet wird. Die Richtlinien werden nur auf den beruflichen Kontext angewendet, wodurch Sie die Möglichkeit haben, Unternehmensdaten zu schützen, ohne dass private Daten einbezogen werden.

Hinzufügen von Apps zu Intune

Der erste Schritt beim Bereitstellen von Apps für Ihre organization besteht darin, die Apps zu Intune hinzuzufügen, bevor sie Geräten oder Benutzern von Intune zugewiesen werden. Sie können zwar mit vielen verschiedenen App-Typen arbeiten, die grundlegenden Vorgehensweisen sind jedoch die gleichen. Mit Intune können Sie verschiedene App-Typen hinzufügen, darunter intern geschriebene Apps (Branchen-of-Business), Apps aus dem Store, integrierte Apps und Apps im Web.

Die App-Anforderungen der Benutzer von Apps und Geräten in Ihrem Unternehmen (also der Mitarbeiter Ihres Unternehmens) können unterschiedlich sein. Bevor Sie Apps zu Intune hinzufügen und Ihren Mitarbeitern zur Verfügung stellen, sollten Sie einige Grundlagen zu Apps kennenlernen. Es gibt verschiedene Arten von Apps, die für Intune verfügbar sind. Sie müssen die Anforderungen ermitteln, die die App für die Benutzer Ihres Unternehmens erfüllen muss, z. B. welche Plattformen und Funktionen Ihre Mitarbeiter benötigen. Sie müssen festlegen, ob Sie Intune zum Verwalten der Geräte (einschließlich Apps) oder nur zum Verwalten von Apps, also ohne Geräteverwaltung, verwenden möchten. Außerdem müssen Sie ermitteln, wer von Ihren Mitarbeitern welche Apps und Funktionen benötigt. Die Informationen in diesem Artikel erleichtern Ihnen den Einstieg.

Bevor Sie Apps zu Intune hinzufügen, sollten Sie die Support-App-Typen überprüfen und Ihre App-Anforderungen bewerten. Weitere Informationen finden Sie unter Hinzufügen von Apps zu Microsoft Intune.

Microsoft-Apps hinzufügen

Intune enthält eine Reihe von Microsoft-Apps, basierend auf der Microsoft-Lizenz, die Sie für Intune verwenden. Weitere Informationen zu den verschiedenen verfügbaren Microsoft Enterprise-Lizenzen, die Intune enthalten, finden Sie unter Microsoft Intune-Lizenzierung. Um die verschiedenen Microsoft-Apps zu vergleichen, die mit Microsoft 365 verfügbar sind, siehe die mit Microsoft 365 verfügbaren Lizenzierungsoptionen. Um alle Optionen für jeden Plan (einschließlich der verfügbaren Microsoft-Apps) anzuzeigen, laden Sie die vollständige Microsoft-Abonnementvergleichstabelle herunter, und suchen Sie die Pläne, die Microsoft Intune enthalten.

Einer der verfügbaren App-Typen sind Microsoft 365-Apps für Windows-Geräte. Wenn Sie diesen App-Typ in Intune auswählen, können Sie Microsoft 365-Apps auf von Ihnen verwalteten Geräten zuweisen und installieren, auf denen Windows ausgeführt wird. Sie können auch Apps für den Microsoft Project Online-Desktopclient und Microsoft Visio Online Plan 2 zuweisen und installieren, wenn Sie Lizenzen dafür besitzen. Die verfügbaren Microsoft 365-Apps werden als einzelner Eintrag in der Liste der Apps in der Intune-Konsole in Azure angezeigt.

Fügen Sie die folgenden Microsoft-Kern-Apps zu Intune hinzu:

• Microsoft Edge
• Microsoft Excel
• Microsoft Office
• Microsoft OneDrive
• Microsoft OneNote
• Microsoft Outlook
• Microsoft PowerPoint
• Microsoft SharePoint
• Microsoft Teams
• Microsoft Aufgaben
• Microsoft Word

Weitere Informationen zum Hinzufügen von Microsoft-Apps zu Intune finden Sie in den folgenden Themen:

• Hinzufügen von Apps zu Microsoft Intune
• Hinzufügen von Microsoft 365 Apps zu Windows-Geräten mit Microsoft Intune

Hinzufügen von Store-Apps (optional)

Viele der in der Intune-Konsole angezeigten Standard-Store-Apps können Sie kostenlos hinzufügen und für Mitglieder Ihrer organization bereitstellen. Darüber hinaus können Sie Store-Apps für jede Geräteplattform erwerben.

In der folgenden Tabelle sind die verschiedenen Kategorien aufgeführt, die für Store-Apps verfügbar sind:

Weitere Informationen zum Hinzufügen von Microsoft-Apps zu Intune finden Sie in den folgenden Themen:

• Hinzufügen von Microsoft Store-Apps zu Microsoft Intune
• Hinzufügen von iOS Store-Apps zu Microsoft Intune
• Hinzufügen von Android-Store-Apps zu Microsoft Intune

Konfigurieren von Apps mit Intune

App-Konfigurationsrichtlinien können Ihnen helfen, App-Setupprobleme zu beseitigen, indem Sie Konfigurationseinstellungen für eine Richtlinie auswählen können. Diese Richtlinie wird dann den Endbenutzern zugewiesen, bevor sie eine bestimmte App ausführen. Die Einstellungen werden dann automatisch bereitgestellt, wenn die App auf dem Gerät des Endbenutzers konfiguriert wird. Endbenutzer müssen keine Maßnahmen ergreifen. Die Konfigurationseinstellungen sind für jede App eindeutig.

Sie können App-Konfigurationsrichtlinien erstellen und verwenden, um Konfigurationseinstellungen für iOS/iPadOS- oder Android-Apps bereitzustellen. Diese Konfigurationseinstellungen ermöglichen die Anpassung einer App mithilfe der App-Konfiguration und -Verwaltung. Die Einstellungen für die Konfigurationsrichtlinie werden verwendet, wenn die App sie überprüft, in der Regel bei ihrer ersten Ausführung.

Für eine App-Konfigurationseinstellung müssen Sie z. B. möglicherweise folgende Details angeben:

• Eine benutzerdefinierte Portnummer
• Spracheinstellungen
• Sicherheitseinstellungen
• Brandingeinstellungen wie z. B. ein Firmenlogo

Wenn Endbenutzer diese Einstellungen stattdessen eingeben, könnten sie dies falsch tun. App-Konfigurationsrichtlinien können dazu beitragen, Konsistenz im gesamten Unternehmen zu gewährleisten und Helpdeskanrufe von Endbenutzern zu reduzieren, die versuchen, Einstellungen selbst zu konfigurieren. Durch die Verwendung von App-Konfigurationsrichtlinien kann die Einführung neuer Apps einfacher und schneller erfolgen.

Die verfügbaren Konfigurationsparameter werden letztendlich von den Entwicklern der App festgelegt. Die Dokumentation des Anwendungsanbieters sollte überprüft werden, um festzustellen, ob eine App die Konfiguration unterstützt und welche Konfigurationen verfügbar sind. Bei einigen Anwendungen füllen Intune die verfügbaren Konfigurationseinstellungen auf.

Weitere Informationen zur App-Konfiguration finden Sie in den folgenden Themen:

• App-Konfigurationsrichtlinien für Microsoft Intune
• Hinzufügen von App-Konfigurationsrichtlinien für verwaltete iOS/iPadOS-Geräte
• Hinzufügen von App-Konfigurationsrichtlinien für verwaltete Android Enterprise-Geräte.

Konfigurieren von Microsoft Outlook

Die Outlook für iOS und Android-App ermöglicht Kunden in Ihrer Organisation, mehr Aufgaben über ihre Mobilgeräte zu erledigen, indem Zugriff auf E-Mails, Kalender, Kontakte und andere Dateien ermöglicht wird.

Die umfangreichsten und umfassendsten Schutzfunktionen für Microsoft 365-Daten sind verfügbar, wenn Sie die Enterprise Mobility + Security-Suite abonnieren, die Features wie Microsoft Intune und Microsoft Entra ID P1 oder P2 wie bedingten Zugriff umfasst. Sie sollten mindestens eine Richtlinie für bedingten Zugriff bereitstellen, die die Konnektivität mit Outlook für iOS und Android von mobilen Geräten aus ermöglicht, sowie eine Intune-App-Schutzrichtlinie, die sicherstellt, dass die Zusammenarbeit geschützt ist.

Weitere Informationen zum Konfigurieren von Microsoft Outlook finden Sie im folgenden Thema:

• Verwalten des Zugriffs auf die Messagingzusammenarbeit mithilfe von Outlook für iOS und Android mit Microsoft Intune

Konfigurieren von Microsoft Edge

Edge für iOS und Android wurde entwickelt, um Benutzern das Surfen im Web zu ermöglichen und unterstützt mehrere Identitäten. Benutzer können sowohl ein Geschäftskonto als auch ein persönliches Konto zum Durchsuchen hinzufügen. Zwischen den beiden Identitäten besteht eine vollständige Trennung, ähnlich wie bei anderen mobilen Microsoft-Apps.

Weitere Informationen zum Konfigurieren von Microsoft Edge finden Sie im folgenden Thema:

• Verwalten von Microsoft Edge unter iOS und Android mit Intune

VPN konfigurieren

Virtuelle private Netzwerke (VPN) ermöglichen Benutzern den Remotezugriff auf Ressourcen der organization, einschließlich von Zuhause, Hotels, Cafés und vielem mehr. In Microsoft Intune können Sie VPN-Client-Apps auf Android Enterprise-Geräten mithilfe einer App-Konfigurationsrichtlinie konfigurieren. Stellen Sie dann diese Richtlinie mit ihrer VPN-Konfiguration auf Geräten in Ihrer organization bereit.

Sie können auch VPN-Richtlinien erstellen, die von bestimmten Apps verwendet werden. Dieses Feature wird als Per-App-VPN bezeichnet. Wenn die App aktiv ist, kann sie eine Verbindung mit dem VPN herstellen und über das VPN auf Ressourcen zugreifen. Wenn die App nicht aktiv ist, wird das VPN nicht verwendet.

Weitere Informationen zum Konfigurieren von E-Mail finden Sie im folgenden Thema:

• Verwenden eines VPN und einer App-basierten VPN-Richtlinie auf Android Enterprise-Geräten in Microsoft Intune

Schützen von Apps mit Intune

App-Schutzrichtlinien sind Regeln, die sicherstellen, dass die Daten einer Organisation in einer verwalteten App jederzeit sicher sind und dort verbleiben. Eine Richtlinie kann eine Regel sein, die erzwungen wird, wenn ein Benutzer versucht, auf „unternehmenseigene“ Daten zuzugreifen oder diese zu verschieben. Es kann sich auch um eine Reihe von Aktionen handeln, die nicht zulässig sind oder überwacht werden, wenn sich ein Benutzer in der App befindet. Eine verwaltete App ist eine App, auf die App-Schutzrichtlinien angewendet wurden und die von Intune verwaltet werden kann.

Mit App-Schutzrichtlinien der Verwaltung mobiler Anwendungen (Mobile Application Management, MAM) können Sie die Daten Ihrer Organisation innerhalb einer Anwendung verwalten und schützen. Viele Produktivitätsanwendungen, wie beispielsweise die Microsoft Office-Apps, können mit Intune MAM verwaltet werden. Weitere Informationen finden Sie in der Liste von in Microsoft Intune verwalteten Apps, die für die Öffentlichkeit verfügbar ist.

Eine der wichtigsten Möglichkeiten, wie Intune Sicherheit für mobile Apps bietet, sind Richtlinien. App-Schutz-Richtlinien erlauben Ihnen die folgenden Aktionen:

• Verwenden Sie die Microsoft Entra-Identität, um organization-Daten von personenbezogenen Daten zu isolieren. So sind persönliche Daten für die IT-Abteilung der Organisation nicht sichtbar. Daten, auf die mithilfe von Anmeldeinformationen der Organisation zugegriffen wird, erhalten zusätzlichen Sicherheitsschutz.
• Sichern Sie den Zugriff auf persönliche Geräte, indem Sie die Aktionen einschränken, die Benutzer mit Organisationsdaten ausführen können, z. B. Kopieren und Einfügen, Speichern und Anzeigen.
• Erstellen Sie und stellen Sie sie auf Geräten bereit, die bei Intune, bei einem anderen MDM-Dienst (Mobile Device Management) oder bei keinem MDM-Dienst registriert sind.

Organisationen können gleichzeitig App-Schutzrichtlinien mit und ohne MDM verwenden. Stellen Sie sich beispielsweise einen Mitarbeiter vor, der sowohl ein vom Unternehmen ausgegebenes Tablet als auch sein eigenes privates Smartphone verwendet. Das Firmentablet ist bei MDM registriert und durch App-Schutzrichtlinien geschützt, während das persönliche Smartphone nur durch App-Schutzrichtlinien geschützt ist.

Weitere Informationen zum App-Schutz in Intune finden Sie in den folgenden Themen:

• Übersicht über App-Schutzrichtlinien
• So erstellen und weisen Sie App-Schutzrichtlinien zu.

Ebenen des App-Schutzes

Da immer mehr Unternehmen Strategien für den Zugriff auf Arbeits- oder Schuldaten mit mobilen Geräten umsetzen, wird der Schutz vor Datenverlust immer wichtiger. Die mobile Anwendungsverwaltungslösung von Intune zum Schutz vor Datenlecks sind App-Schutzrichtlinien. App-Schutz-Richtlinien sind Regeln, die sicherstellen, dass die Daten einer organization sicher oder in einer verwalteten App enthalten bleiben, unabhängig davon, ob das Gerät registriert ist.

Beim Konfigurieren von App-Schutzrichtlinien können Organisationen durch die verschiedenen verfügbaren Einstellungen und Optionen den Schutz an ihre spezifischen Anforderungen anpassen. Aufgrund dieser Flexibilität ist es möglicherweise nicht offensichtlich, welche Permutation von Richtlinieneinstellungen erforderlich ist, um ein vollständiges Szenario zu implementieren. Um Organisationen bei der Priorisierung der Bemühungen um die Sicherung von Client-Endpunkten zu unterstützen, hat Microsoft eine neue Taxonomie für Sicherheitskonfigurationen in Windows eingeführt, und Intune nutzt eine ähnliche Taxonomie für sein APP-Datenschutzframework für die Verwaltung mobiler Apps.

Das APP-Datenschutzkonfigurationsframework ist in drei verschiedene Konfigurationsszenarien unterteilt:

• Stufe 1 Grundlegender Datenschutz für Unternehmen – Microsoft empfiehlt diese Konfiguration als Mindestkonfiguration für den Datenschutz eines Unternehmensgeräts.

• Stufe 2 Erweiterter Datenschutz für Unternehmen – Microsoft empfiehlt diese Konfiguration für Geräte, auf denen Benutzer auf vertrauliche oder vertrauliche Informationen zugreifen. Diese Konfiguration gilt für die meisten mobilen Benutzer, die auf Geschäfts-, Schul- oder Unidaten zugreifen. Einige Steuerungsmöglichkeiten können sich auf das Benutzererlebnis auswirken.

• Level 3 Enterprise High Data Protection – Microsoft empfiehlt diese Konfiguration für Geräte, die von einer organization mit einem größeren oder ausgefeilteren Sicherheitsteam ausgeführt werden, oder für bestimmte Benutzer oder Gruppen, die einem besonders hohen Risiko ausgesetzt sind (Benutzer, die mit hochsensiblen Daten umgehen, bei denen eine nicht autorisierte Offenlegung erhebliche materielle Verluste für die organization verursacht). Eine Organization, die wahrscheinlich von gut finanzierten und raffinierten Gegnern angegriffen wird, sollte diese Konfiguration anstreben.

Grundlegender App-Schutz (Ebene 1)

Der grundlegende App-Schutz in Intune (Ebene 1) ist die Mindestkonfiguration für den Datenschutz auf einem mobilen Unternehmensgerät. Diese Konfiguration ersetzt die Notwendigkeit grundlegender Exchange Online-Gerätezugriffsrichtlinien, indem eine PIN für den Zugriff auf Geschäfts-, Schul- oder Unidaten erforderlich ist, die Geschäfts-, Schul- oder Unikontodaten verschlüsselt werden und die Möglichkeit bietet, die Schul- oder Geschäftsdaten selektiv zu löschen. Im Gegensatz zu Exchange Online-Gerätezugriffsrichtlinien gelten die folgenden Einstellungen der App-Schutzrichtlinie jedoch für alle in der Richtlinie ausgewählten Apps, wodurch sichergestellt wird, dass der Datenzugriff über mobile Messagingszenarien hinaus geschützt ist.

Die Richtlinien in Ebene 1 erzwingen eine angemessene Datenzugriffsebene bei minimaler Auswirkung auf die Benutzer und Spiegel die Standardeinstellungen für Datenschutz und Zugriffsanforderungen beim Erstellen einer App-Schutzrichtlinie in Microsoft Intune.

Informationen zu spezifischem Datenschutz, Zugriffsanforderungen und bedingten Starteinstellungen für den grundlegenden App-Schutz finden Sie im folgenden Thema:

• Stufe 1 Unternehmensdatenschutz.

Erweiterter App-Schutz (Ebene 2)

Der erweiterte App-Schutz in Intune (Ebene 2) ist die Datenschutzkonfiguration, die als Standard für Geräte empfohlen wird, auf denen Benutzer auf vertraulichere Informationen zugreifen. Heutzutage sind diese Geräte in Unternehmen oftmals Angriffen ausgesetzt. Diese Empfehlungen gehen nicht von einem großen Stab hochqualifizierter Sicherheitsexperten aus und sollten daher für die meisten Unternehmen zugänglich sein. Diese Konfiguration erweitert die Konfiguration in Stufe 1, indem sie Datenübertragungsszenarien einschränkt und eine Mindestversion des Betriebssystems erfordert.

Die in Stufe 2 erzwungenen Richtlinieneinstellungen enthalten alle für Ebene 1 empfohlenen Richtlinieneinstellungen, listen jedoch nur die Einstellungen unten auf, die hinzugefügt oder geändert wurden, um mehr Steuerelemente und eine komplexere Konfiguration als Ebene 1 zu implementieren. Zwar haben diese Einstellungen etwas größere Auswirkungen auf Benutzer oder Anwendungen, sie erzwingen jedoch ein Datenschutzniveau, das den Risiken angemessen ist, denen Benutzer beim Zugriff auf vertrauliche Informationen auf Mobilgeräten ausgesetzt sind.

Informationen zum Schutz von Daten und zu bedingten Starteinstellungen für erweiterten App-Schutz finden Sie im folgenden Thema:

• Stufe 2 Erweiterter Datenschutz für Unternehmen.

Hoher App-Schutz (Stufe 3)

Hoch App-Schutz für Intune (Ebene 3) ist die Datenschutzkonfiguration, die als Standard für Organisationen mit großen und komplexen Sicherheitsorganisationen oder für bestimmte Benutzer und Gruppen empfohlen wird, die in einzigartiger Weise von Angreifern angegriffen werden. Solche Organisationen werden in der Regel von gut finanzierten und raffinierten Gegnern angegriffen und verdienen als solche die beschriebenen zusätzlichen Einschränkungen und Kontrollen. Diese Konfiguration erweitert die Konfiguration in Stufe 2, indem sie zusätzliche Datenübertragungsszenarien einschränkt, die Komplexität der PIN-Konfiguration erhöht und die Erkennung mobiler Bedrohungen hinzufügt.

Die Richtlinieneinstellungen, die in Stufe 3 erzwungen werden, enthalten alle für Ebene 2 empfohlenen Richtlinieneinstellungen, listen jedoch nur die Einstellungen unten auf, die hinzugefügt oder geändert wurden, um mehr Steuerelemente und eine komplexere Konfiguration als Ebene 2 zu implementieren. Diese Richtlinieneinstellungen können potenziell erhebliche Auswirkungen auf Benutzer oder Anwendungen haben und ein Sicherheitsniveau erzwingen, das den Risiken entspricht, denen die Zielorganisationen ausgesetzt sind.

Informationen zu spezifischem Datenschutz, Zugriffsanforderungen und bedingten Starteinstellungen für den grundlegenden App-Schutz finden Sie im folgenden Thema:

• Stufe 3 Enterprise High Data Protection.

Exchange Online-E-Mails auf verwalteten Geräten schützen

Sie können Gerätekonformitätsrichtlinien mit bedingtem Zugriff verwenden, um sicherzustellen, dass die Geräte Ihrer Organisation nur dann auf Exchange Online-E-Mails zugreifen können, wenn sie von Intune verwaltet werden und eine genehmigte E-Mail-App verwenden. Sie können eine Intune-Gerätekonformitätsrichtlinie erstellen, um die Bedingungen festzulegen, die ein Gerät erfüllen muss, um als kompatibel zu gelten. Sie können auch eine Microsoft Entra Richtlinie für bedingten Zugriff erstellen, die erfordert, dass Geräte sich bei Intune registrieren, Intune Richtlinien einhalten und die genehmigte mobile Outlook-App für den Zugriff auf Exchange Online E-Mails verwenden.

Weitere Informationen zum Schutz von Exchange Online finden Sie im folgenden Thema:

• Tutorial: Schützen des Exchange Online-E-Mail-Diensts auf verwalteten Geräten

Anforderungen an die Endbenutzer bei der Verwendung von App-Schutzrichtlinien

Die folgende Liste enthält die Endbenutzeranforderungen für die Verwendung von App-Schutzrichtlinien für Apps, die von Intune verwaltet werden, einschließlich der folgenden:

• Der Endbenutzer muss über ein Microsoft Entra Konto verfügen. Weitere Informationen zum Erstellen von Intune-Benutzern in Microsoft Entra ID finden Sie unter Hinzufügen von Benutzern und Erteilen von Administratorrechten für Intune.
• Der Endbenutzer muss über eine Lizenz für Microsoft Intune verfügen, die seinem Microsoft Entra-Konto zugewiesen ist. Informationen zum Zuweisen von Intune-Lizenzen zu Endbenutzern finden Sie unter Verwalten von Intune-Lizenzen.
• Der Endbenutzer muss einer Sicherheitsgruppe angehören, für die eine App-Schutzrichtlinie vorgesehen ist. Die selbe App-Schutzrichtlinie muss auf die App angewendet werden, die verwendet werden soll. App-Schutz-Richtlinien können im Microsoft Intune Admin Center erstellt und bereitgestellt werden. Sicherheitsgruppen können zurzeit im Microsoft 365 Admin Center erstellt werden.
• Der Endbenutzer muss sich mit seinem Microsoft Entra-Konto bei der App anmelden.

Befolgen Sie die empfohlenen Mindestrichtlinien

Dieser Artikel ist Teil einer fünfstufigen Reihe, in der beschrieben wird, wie Microsoft Intune bereitgestellt wird. Die Reihe enthält in der Reihenfolge die folgenden Artikel:

1. Einrichten von Microsoft Intune
2. 🡺 Apps hinzufügen, konfigurieren und schützen (dieser Artikel)
3. Planen von Konformitätsrichtlinien
4. Konfigurieren von Gerätefeatures
5. Registrieren von Geräten