Planen der Remotehilfe mit Microsoft Intune

In diesem Artikel werden Benutzer, die Hilfe leisten, als Helfer bezeichnet, und Benutzer, die Hilfe erhalten, werden als "teilende Benutzer" bezeichnet, da sie ihre Sitzung mit dem Hilfsprogramm teilen. Sowohl Helfer als auch Sharer melden sich bei Ihrer Organisation an, um die App zu verwenden. Über Ihre Microsoft Entra ID werden die richtigen Vertrauensstellungen für die Remotehilfe-Sitzungen eingerichtet.

Die Remotehilfe verwendet die rollenbasierte Zugriffssteuerung (RBAC) von Intune, um die Zugriffsebene festzulegen, die einem Hilfsprogramm gestattet ist. Mit RBAC legen Sie fest, welche Nutzer Hilfe leisten können und in welchem Umfang.

Planungscheckliste

Folgen Sie dieser Checkliste, um Ihren Planungsprozess zu optimieren.

• Unterstützung für Plattformen und Geräte
• Sprachunterstützung
• Konfiguration des Mandanten
• Bedingter Zugriff
• Rollenbasierte Zugriffssteuerung (RBAC)
• Überlegungen zum Netzwerk
• Voraussetzungen
• Begrenzungen
• Bekannte Probleme
• Registrierte oder nicht registrierte Geräte

Überlegungen zur Planung

Führen Sie diese Überlegungen aus, um Ihre organization auf die Remotehilfe vorzubereiten.

• Erzwingen der niedrigsten Rechte: Erteilen Sie nur die minimalen Remotehilfe-Berechtigungen, die für jede Supportrolle erforderlich sind. Verwenden Sie bei Bedarf benutzerdefinierte Intune-Rollen, um einzuschränken, wer Vollzugriff übernehmen oder unbeaufsichtigte Sitzungen ausführen kann. So erhält beispielsweise der Support der Stufe 1 nur Leserechte, während der Support der Stufe 2 Vollzugriffsrechte erhält. Dieses Prinzip trägt zum Schutz der Privatsphäre und Geräteintegrität der Benutzer bei.

• Bereich der unbeaufsichtigten Kontrolle eng: Die unbeaufsichtigte Steuerung ermöglicht es einem Hilfsprogramm, Fehler auf einem Gerät zu beheben, ohne dass ein Endbenutzer anwesend ist. Erstellen Sie eine dedizierte benutzerdefinierte Intune-Rolle, die die Berechtigungen für die unbeaufsichtigte Windows-Steuerung und die unbeaufsichtigte Android-Steuerung enthält, und weisen Sie sie nur autorisierten Supportmitarbeitern zu, z. B. Helpdeskmitarbeitern der Ebene 3 oder leitenden Administratoren. Beschränken Sie die Rolle nur auf die Gerätegruppen, die unbeaufsichtigten Support benötigen.

• Bedingten Zugriff für Hilfsprogramme verwenden: Da Hilfsprogramme über erhöhte Zugriffsrechte auf Benutzergeräte verfügen, fügen Sie eine zusätzliche Sicherheitsebene hinzu. Es wird dringend empfohlen, MFA oder den Status eines kompatiblen Geräts für Hilfskonten über bedingten Zugriff zu verlangen. Diese Maßnahmen verhindern, dass ein kompromittiertes Hilfskonto für den Zugriff auf Geräte verwendet wird. Microsoft Entra Richtlinien für bedingten Zugriff für Remotehilfe werden nur unter Windows und macOS unterstützt.

• Aktivieren Sie die Unterstützung für nicht registrierte Geräte nur bei Bedarf: Das Zulassen von Remotehilfe auf nicht registrierten Geräten (nur bei Microsoft Entra registriert) ist praktisch für die Unterstützung persönlicher Geräte, aber es ist mit einer eingeschränkten Überwachung verbunden, z. B. keine Geräte-Complianceinformationen oder eingeschränkte Überwachungsdaten. Aktivieren Sie diese Funktion mit Bedacht, und erwägen Sie, die Supportmitarbeiter einzuschränken, die bei abgemeldeten Geräten helfen können, indem Sie separate Rollen verwenden.

• Netzwerk und Firewall: Stellen Sie sicher, dass die Netzwerkrichtlinien des Unternehmens die Remotehilfe nicht beeinträchtigen. Die App kommuniziert über Port 443 mit Azure-Cloudendpunkten. Wenn sich Ihre Benutzer in einem Unternehmensnetzwerk befinden, stellen Sie sicher, dass die Proxy- oder SSL-Überprüfung die Verbindung nicht unterbricht. Wenn Ihre Proxyserver die SSL-Überprüfung verwenden, sollten die für die Remotehilfe aufgeführten Domänen ausgeschlossen werden, um Probleme zu vermeiden. Weitere Informationen finden Sie unter Netzwerkendpunkte für die Remotehilfe.

• Die Unterstützung für Government Cloud ist reduziert: Remotehilfe wird in Government Community Cloud (GCC)-Umgebungen mit Ausnahme von Azure Virtual Desktop (AVD) unterstützt. Remotehilfe wird auf GCC High- oder DoD-Mandanten (US-Verteidigungsministerium) nicht unterstützt. Weitere Informationen finden Sie unter Microsoft Intune für die GCC High- und DoD-Dienstbeschreibung der US-Regierung.

• Remotehilfe-Sharer, Helper und Geräte müssen sich im selben Mandanten befinden: Für die Integration von Remotehilfe in Compliancerichtlinien und rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) müssen sich alle Teilnehmer im selben Mandanten befinden.

  Hinweis

  Dies kann sich auf ausgelagerte Helpdeskszenarien auswirken, in denen Helpdeskadministratoren mandantenübergreifend arbeiten. Stellen Sie sich ein Szenario vor, in dem das Gerät Ihres Benutzers (Sharer) zu Mandant A gehört, das Gerät des Hilfsmittels jedoch zu Mandant B gehört (für den Fall, dass er ein Gerät verwendet, das von seiner Outsourcing-Organization ausgestellt wurde). Als Problemumgehung sollten Sie dem Helpdesk Geräte, die mit Ihrem Mandanten A verbunden sind, oder ihnen Zugriff auf Windows 365- oder AVD-Geräte, die mit Mandant A verbunden sind, ermöglichen.

• Kombinieren mit Endpoint Analytics: Nutzen Sie Daten aus Remotehilfe-Sitzungen, um häufige Probleme zu identifizieren. Wenn z. B. viele Sitzungen Konformitätswarnungen anzeigen, sollten Sie eine Verbesserung Ihrer Gerätekonformitätsrichtlinien in Erwägung ziehen. Audit-Protokolle der Remotehilfe in Kombination mit Intune Endpunktanalysen können Einblicke in Supporttrends bieten, z. B. häufig problematische Apps oder Richtlinien.

• Halten Sie die Remotehilfe-Apps auf dem neuesten Stand: Neue Versionen von Windows und macOS bringen Verbesserungen und erforderliche Korrekturen. Microsoft erzwingt möglicherweise Upgrades für ältere Versionen. Verwenden Sie automatische Updates auf beiden Plattformen, oder stellen Sie regelmäßig das neueste Paket nach Tests über Intune bereit. Für Android sind Updates über Google Play verfügbar. Überwachen Sie Geräte während der regelmäßigen Wartungsfenster, um sicherzustellen, dass sie die neueste Version erhalten.

• Planen von Datenschutz und Compliance: Remotehilfe kann Datenschutzbedenken aufwerfen. Um diese Bedenken auszuräumen, teilen Sie mit, dass für die Remotehilfe die Zustimmung des Benutzers für beaufsichtigte Sitzungen erforderlich ist. Bei unbeaufsichtigtem Zugriff auf Windows- und Android-Geräten können Benutzer die Aktionen des Supportpersonals nicht beobachten, werden jedoch benachrichtigt, wenn eine unbeaufsichtigte Sitzung aktiv ist. Alle Remotehilfe-Sitzungen werden den Benutzern eindeutig angezeigt, und es werden keine Sitzungsaufzeichnungen vom Dienst gespeichert. Dokumentieren Sie diese Verhaltensweisen in den IT-Richtlinien und in der Benutzeranleitung Ihrer Organization. Da der unbeaufsichtigte Zugriff einen Support ermöglicht, ohne dass ein aktiver Benutzer anwesend ist, sollten Sie ihn nur für geeignete Verwaltungs- und Supportszenarien verwenden.

• Rollout in Phasen: Stellen Sie die Remotehilfe nach Möglichkeit in einer Pilotphase bereit. Beginnen Sie mit der IT oder einer kleinen Abteilung, um Probleme zu lösen. Holen Sie Feedback von Helfern und Benutzern ein. Sobald Sie zuversichtlich sind, erweitern Sie es auf die gesamte organization. Ein schrittweiser Ansatz kann verhindern, dass der Helpdesk mit unerwarteten technischen Problemen überfordert wird.

Hilfs- und Clientmodi

Remotehilfe-Clients unterstützen unterschiedliche Modi, basierend auf der Kombination aus Hilfs-App und Sharer-App. Windows, macOS und Android verfügen über Remotehilfe-Apps, die installiert werden können, um die Funktionalität zu erweitern. Remotehilfe-Apps werden manchmal als native App bezeichnet. Die Remotehilfe unterstützt auch die Freigabe von Geräten mit eingeschränkten Funktionen über eine Web-App.

Dies sind die verschiedenen Modi:

• Besucht: Supportsitzung, an der ein Endbenutzer teilnimmt und dem Helfer Zugriff gewährt. Besuchte Sitzungen unterstützen schreibgeschützten Zugriff, Vollzugriff und optionale UAC-Höhen.

  Nur anzeigen: Anfordern der Ansicht des Remote-Bildschirms. Um die Auswirkungen auf den Datenschutz der Endbenutzer zu minimieren, wird diese Option empfohlen, sofern kein Vollzugriff erforderlich ist.

  Vollzugriff anfordern: Fordern Sie die vollständige Kontrolle über das Remotegerät an.

  Rechte: Ermöglicht Helfern die Eingabe von Anmeldeinformationen für die Benutzerkontensteuerung (User Account Control, UAC), wenn sie auf dem Gerät des freigebenden Benutzers dazu aufgefordert werden. Die Aktivierung der Rechteerweiterung ermöglicht es dem Hilfsprogramm auch, das Gerät des Mitbenutzenden anzuzeigen und zu steuern, wenn der Mitbenutzende dem Hilfsprogramm Zugriff gewährt.

• Unbeaufsichtigt: Eine Supportsitzung, die autorisierten Hilfskräften den Zugriff auf und die Steuerung eines von Intune verwalteten Geräts ohne aktiven Sitzungsteilnehmer ermöglicht. Diese Funktion wird auf Windows- und Android-Geräten unterstützt.

Diese Tabelle zeigt die Modusunterstützung nach Hilfs-App und Sharer-App.

Informationen zum Bereitstellen der Remotehilfe-Apps finden Sie unter Bereitstellen der Remotehilfe.

Authentifizierung und Berechtigungen

Sowohl Helfer als auch Mitbenutzende melden sich mit der Microsoft Entra ID bei Ihrer organization an. Dadurch wird sichergestellt, dass die richtigen Vertrauensstellungen für die Remotehilfe-Sitzungen eingerichtet werden.

Die Remotehilfe verwendet die rollenbasierte Zugriffssteuerung (RBAC) von Intune, um die Zugriffsebene festzulegen, die einem Hilfsprogramm gestattet ist. Über die RBAC bestimmen Mandantenadministratoren, welche Benutzer Hilfe leisten können und wie viel Hilfe sie leisten können.

Rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC)

Um die Remotehilfe verwenden zu können, müssen Hilfsprogramme über die entsprechenden RBAC-Berechtigungen (rollenbasierte Zugriffssteuerung) verfügen, die ihrem Benutzerkonto zugewiesen sind. In der folgenden Tabelle sind die verfügbaren Berechtigungen für Remotehilfe und ihre Beschreibungen aufgeführt.

Die folgenden integrierten Intune-Rollen enthalten Berechtigungen für die Remotehilfe:

• Helpdesk-Operator (Bildschirm anzeigen, Vollzugriff übernehmen, Höhe, unbeaufsichtigte Android-Steuerung, Remoteaufgaben – Remoteunterstützung anbieten, Remoteunterstützungsconnector – Lesen)
• Schuladministrator (Bildschirm anzeigen, Vollzugriff übernehmen, Höhe, Remoteaufgaben – Remoteunterstützung anbieten, Remoteunterstützungsconnector – Lesen)

Voraussetzungen

Für die Remotehilfe gelten folgende Anforderungen:

• Eine Remotehilfe-Lizenz für alle Benutzer, die den Dienst nutzen sollen – sowohl Helfer (IT-Supportmitarbeiter) als auch gemeinsam benutzende Benutzer (Benutzer).
• Eine unterstützte Plattform oder ein unterstütztes Gerät.
• Bei Intune registrierte Geräte müssen bei Microsoft Entra registriert sein.

Für dieses Feature ist zusätzlich zu Microsoft Intune Plan 1 oder Plan 2 ein Abonnement erforderlich. Informationen zu Lizenzierungsoptionen finden Sie unter Microsoft Intune-Pläne und -Preise und Microsoft 365 Security Enterprise-Pläne.

Begrenzungen

Für die Remotehilfe gelten die folgenden Einschränkungen:

• Sie können keine Remotehilfe-Sitzung von einem Mandanten zu einem anderen Mandanten einrichten.
• Remotehilfe ist möglicherweise nicht in allen Märkten oder Lokalisierungen verfügbar.
• Remotehilfe wird in Government Community Cloud (GCC)-Umgebungen auf den folgenden Plattformen unterstützt:
  • Windows
  • Windows auf ARM64-Geräten
  • Windows 365
  • Samsung- und Zebra-Geräte, die als dedizierte Android Enterprise-Geräte registriert sind
  • macOS 13, 14 und 15
• Remotehilfe wird auf GCC High- oder DoD-Mandanten (US-Verteidigungsministerium) nicht unterstützt. Weitere Informationen finden Sie unter Microsoft Intune für die GCC High- und DoD-Dienstbeschreibung der US-Regierung.

Unterstützte Plattformen

Jede Plattform hat spezifische Voraussetzungen und Fähigkeiten.

Überlegungen zum Netzwerk

Sowohl der Helfer als auch der freigebende Benutzer müssen bestimmte Endpunkte über Port 443 erreichen können. Weitere Informationen finden Sie unter Netzwerkendpunkte für die Remotehilfe.

Die Remotehilfe kommuniziert über Port 443 (HTTPS) und stellt über das Remotedesktopprotokoll (RDP) eine Verbindung mit dem Remoteunterstützungsdienst herhttps://remotehelp.microsoft.com. Der Datenverkehr wird mit TLS 1.2 verschlüsselt.

Anforderungen und Voraussetzungen

Unterstützte Sprachen für den Chat

Remotehilfe mit aktiviertem Chat wird in den folgenden Sprachen unterstützt:

Daten und Datenschutz

Microsoft protokolliert eine kleine Menge von Sitzungsdaten, um die Integrität des Remotehilfe-Systems zu überwachen. Diese Daten umfassen die folgenden Informationen:

• Start- und Endzeit der Sitzung. Diese Informationen werden 30 Tage lang auf Microsoft-Servern gespeichert.
• Wer hat wem und auf welchem Gerät geholfen. Diese Informationen werden 30 Tage lang auf Microsoft-Servern gespeichert.
• Fehler, die sich aus der Remotehilfe selbst ergeben, z. B. unerwartete Verbindungsabbrüche. Diese Informationen werden auf dem Gerät des Freigebenden in der Ereignisanzeige gespeichert.
• Innerhalb der App verwendete Funktionen, z. B. nur Ansicht und Höhe. Diese Informationen werden 30 Tage lang auf Microsoft-Servern gespeichert.

Remotehilfe protokolliert Sitzungsdetails in den Windows-Ereignisprotokollen auf dem Gerät des Hilfsprogramms und des freigebenden Benutzers. Microsoft kann nicht auf eine Sitzung zugreifen oder Aktionen oder Tastatureingaben anzeigen, die in der Sitzung auftreten.

Die Helfer und die teilende Person sehen die folgenden Informationen zur anderen Person, die aus ihren Organisationsprofilen entnommen wurden:

• Organisationsprofilbild (sofern vorhanden)
• Firmenname
• Domäne überprüft
• Vor- und Nachname
• Position

Microsoft speichert keine Daten über die teilende Person oder den Hilfsempfänger länger als 30 Tage.

Nächste Schritte