Häufig gestellte Fragen zu MAM und App-Schutz

MAM-Übersicht

App-Schutzrichtlinien sind Regeln, die sicherstellen, dass die Daten einer Organisation in einer verwalteten App jederzeit sicher sind und dort verbleiben. Eine Richtlinie ist eine Regel, die von Intune erzwungen wird, wenn der Benutzer versucht, auf "Unternehmensdaten" zuzugreifen oder diese zu verschieben. Es kann auch Aktionen definieren, die Intune blockiert oder überwacht, während sich der Benutzer in der App befindet.

Ausführliche Informationen zu den einzelnen App-Schutzrichtlinieneinstellungen finden Sie unter Richtlinieneinstellungen für Android-Apps und iOS/iPadOS-App-Schutzrichtlinieneinstellungen.

Wenn Sie eine MAM-Richtlinie auf den Benutzer anwenden, ohne den Geräteverwaltungsstatus festzulegen, erhält der Benutzer die MAM-Richtlinie sowohl auf dem persönlichen Gerät, das auch als BYOD (Bring-Your-Own-Device) bezeichnet wird, als auch auf dem von Intune verwalteten Gerät. Sie können auch eine MAM-Richtlinie basierend auf dem Geräteverwaltungsstatus anwenden. Wenn Sie also eine App-Schutzrichtlinie erstellen, wählen Sie neben "Auf Apps auf alle Gerätetypen ausrichten" die Option "Nein". Wählen Sie dann eine der folgenden Optionen aus:

• Wenden Sie eine weniger strenge MAM-Richtlinie auf mit Intune verwaltete Geräte an, und wenden Sie eine restriktivere MAM-Richtlinie auf nicht bei MDM registrierte Geräte an.
• Wenden Sie eine gleichermaßen strenge MAM-Richtlinie auf von Intune verwaltete Geräte und auf von nicht Microsoft verwaltete Geräte an.
• Wenden Sie eine MAM-Richtlinie nur auf nicht registrierte Geräte an.

Weitere Informationen finden Sie unter Überwachen von App-Schutzrichtlinien.

Jede App, die in das Intune App SDK integriert oder vom Intune App Wrapping Tool umschlossen ist, kann mithilfe Intune App-Schutzrichtlinien verwaltet werden. Sehen Sie sich diesbezüglich die Liste der mit Intune verwalteten Apps an, die für die öffentliche Nutzung verfügbar sind.

• Der Endbenutzer muss über ein Microsoft Entra Konto verfügen. Weitere Informationen zum Erstellen von Intune-Benutzern in Microsoft Entra ID finden Sie unter Hinzufügen von Benutzern und Erteilen von Administratorrechten für Intune.

• Der Endbenutzer muss über eine Lizenz für Microsoft Intune verfügen, die seinem Microsoft Entra-Konto zugewiesen ist. Weitere Informationen zum Zuweisen von Intune-Lizenzen zu Endbenutzern finden Sie unter Verwalten von Intune-Lizenzen.

• Der Endbenutzer muss zu einer Sicherheitsgruppe gehören, auf die eine App-Schutzrichtlinie abzielt. Die selbe App-Schutzrichtlinie muss auf die App angewendet werden, die verwendet werden soll. App-Schutz-Richtlinien können im Microsoft Intune Admin Center erstellt und bereitgestellt werden. Sicherheitsgruppen können zurzeit im Microsoft 365 Admin Center erstellt werden.

• Der Endbenutzer muss sich mit seinem Microsoft Entra-Konto bei der App anmelden.

Das Intune SDK-Entwicklungsteam testet und verwaltet aktiv die Unterstützung für Apps, die mit den nativen Android-, iOS/iPadOS-(Obj-C, Swift), .NET- und MAUI-Plattformen erstellt wurden. Einige Kunden integrieren das Intune SDK erfolgreich in andere Plattformen, z. B. React Native und NativeScript. Microsoft stellt jedoch keine Anleitungen oder Plug-Ins für andere als die unterstützten Plattformen bereit.

Das Intune App SDK kann die Microsoft-Authentifizierungsbibliothek für seine Authentifizierungs- und bedingten Startszenarien verwenden. Es basiert auch auf MSAL, um die Benutzeridentität beim MAM-Dienst zur Verwaltung ohne Geräteregistrierungsszenarien zu registrieren.

• Der Endbenutzer muss die mobile Outlook-App auf seinem Gerät installiert haben.

• Der Endbenutzer muss über ein Microsoft 365 Exchange Online-Postfach und eine Lizenz verfügen, die mit seinem Microsoft Entra-Konto verknüpft sind.

  Hinweis

  Die mobile Outlook-App unterstützt derzeit nur den Intune-App-Schutz für Microsoft Exchange Online und Exchange Server mit hybrider moderner Authentifizierung und unterstützt Exchange in Office 365 dediziert nicht.

• Der Endbenutzer muss über eine Lizenz für Microsoft 365 Apps for Business oder Enterprise verfügen, die mit seinem Microsoft Entra-Konto verknüpft ist. Das Abonnement muss die Office-Apps auf mobilen Geräten umfassen und kann ein Cloudspeicherkonto mit OneDrive-Cloudspeicher und Dateifreigabe für Unternehmen umfassen. Microsoft 365-Lizenzen können im Microsoft 365 Admin Center zugewiesen werden. Befolgen Sie dazu diese Anweisungen.

• Der Benutzer muss über einen verwalteten Speicherort verfügen, der mithilfe der Funktion „Speichern unter“ im Rahmen der Einstellung für die Anwendungsschutzrichtlinie „Kopien von Organisationsdaten speichern“ konfiguriert wird. Wenn der verwaltete Speicherort beispielsweise OneDrive ist, sollte die OneDrive-App in der Word-, Excel- oder PowerPoint-App des Endbenutzers konfiguriert werden.

• Wenn der verwaltete Speicherort OneDrive ist, muss die App unter die App-Schutzrichtlinie fallen, die für den Endbenutzer angegeben ist.

  Hinweis

  Die mobilen Office-Apps unterstützen zurzeit nur SharePoint Online, nicht jedoch SharePoint lokal.

Intune markiert alle Daten in der App entweder als "geschäftlich" oder "persönlich". Daten gelten als "unternehmensbezogen", wenn sie von einem Unternehmensstandort stammen. Bei Office-Apps behandelt Intune E-Mails (Exchange) und Cloudspeicher (OneDrive) als Unternehmensstandorte.

Informationen hierzu finden Sie in den Lizenzanforderungen für Skype for Business. Informationen zu hybriden und lokalen Konfigurationen von Skype for Business (SfB) finden Sie unter Hybrid Modern Auth für SfB und Exchange goes GA und Modern Auth für SfB lokal mit Microsoft Entra ID.

Die Unterstützung mehrerer Identitäten ist die Möglichkeit für das Intune App SDK, App-Schutzrichtlinien nur auf das Geschäfts-, Schul- oder Unikonto anzuwenden, das bei der App angemeldet ist. Wenn ein persönliches Konto bei der App angemeldet ist, kann nicht auf die Daten zugegriffen werden.

Die Unterstützung mehrerer Identitäten ermöglicht die öffentliche Veröffentlichung von Apps sowohl für Unternehmens- als auch für Verbraucherzielgruppen (d. h. die Office-Apps) mit Intune-App-Schutzfunktionen für Unternehmenskonten.

Da Outlook über eine kombinierte E-Mail-Ansicht für persönliche und geschäftliche E-Mails verfügt, fordert die Outlook-App beim Starten zur Eingabe der Intune-PIN auf.

Die PIN (Personal Identification Number) ist eine Kennung, mit der sichergestellt wird, dass der richtige Benutzer in einer Anwendung auf die Daten der Organisation zugreift.

Intune fordert den Benutzer zur Eingabe seiner App-PIN auf, wenn dieser versucht, auf „unternehmenseigene“ Daten zuzugreifen. In Apps mit mehreren Identitäten, z. B. Word/Excel/PowerPoint, wird der Benutzer zur Eingabe seiner PIN aufgefordert, wenn er versucht, ein "Unternehmensdokument" oder eine Datei zu öffnen. In Single-Identity-Apps, z. B. Branchen-Apps, die mit dem Intune App Wrapping Tool verwaltet werden, wird die PIN beim Start abgefragt, da das Intune App SDK weiß, dass die Benutzererfahrung in der App immer "unternehmensbezogen" ist.

Der IT-Administrator kann die Intune App-Schutzrichtlinieneinstellung "Zugriffsanforderungen erneut überprüfen nach (Minuten)" im Microsoft Intune Admin Center definieren. Diese Einstellung legt die Zeitspanne fest, bevor die Zugriffsanforderungen auf dem Gerät überprüft und der Anwendungs-PIN-Bildschirm erneut angezeigt wird. Wichtige Details zur PIN, die sich darauf auswirken, wie oft Benutzer aufgefordert werden, sind jedoch:

• Die PIN wird von Apps desselben Herausgebers gemeinsam genutzt, um die Benutzerfreundlichkeit zu verbessern: Unter iOS/iPadOS wird eine App-PIN von allen Apps desselben App-Herausgebers gemeinsam genutzt. Unter Android wird eine App-PIN von allen Apps gemeinsam verwendet.
• Das Verhalten "Zugriffsanforderungen erneut überprüfen nach (Minuten)" nach einem Geräteneustart: Ein "PIN-Timer" verfolgt die Anzahl der Minuten der Inaktivität, die bestimmen, wann die Intune-App-PIN als nächstes angezeigt wird. Unter iOS/iPadOS ist der PIN-Timer vom Geräteneustart nicht betroffen. Daher hat der Geräteneustart keinen Einfluss auf die Anzahl der Minuten, die der Benutzer aus einer iOS/iPadOS-App mit Intune-PIN-Richtlinie inaktiv ist. Unter Android wird der PIN-Timer beim Neustart des Geräts zurückgesetzt. Daher werden Android-Apps mit Intune-PIN-Richtlinie wahrscheinlich zur Eingabe einer App-PIN aufgefordert, unabhängig vom Einstellungswert "Zugriffsanforderungen erneut überprüfen nach (Minuten)" nach einem Geräteneustart.
• Der gleitende Charakter des mit der PIN verbundenen Timers: Sobald eine PIN eingegeben wird, um auf eine App zuzugreifen (App A) und die App den Vordergrund (Haupteingabefokus) auf dem Gerät verlässt, wird der PIN-Timer für diese PIN zurückgesetzt. Alle Apps (App B), die diese PIN teilen, fordern den Benutzer nicht zur Eingabe der PIN auf, da der Timer zurückgesetzt wurde. Die Aufforderung wird wieder angezeigt, wenn der Wert für „Zugriffsanforderungen nach (Minuten) erneut überprüfen“ erneut erreicht wurde.

Auf iOS-/iPadOS-Geräten können Apps von verschiedenen Herausgebern dieselbe PIN verwenden. Wenn jedoch der Wert "Zugriffsanforderungen erneut überprüfen nach (Minuten)" erreicht ist, fordert Intune den Benutzer zur Eingabe einer PIN auf, wenn die App nicht der Haupteingabefokus war. Beispiel: Der Benutzer verfügt über die App A von Herausgeber X und über die App B von Herausgeber Y, und für diese Apps wird die gleiche PIN verwendet. Der Benutzer verwendet App A (im Vordergrund), und die App B ist minimiert. Wenn der Wert für Zugriffsanforderungen nach (Minuten) erneut überprüfen erreicht wurde und der Benutzer zur App B wechselt, ist eine PIN erforderlich.

Die Intune-PIN funktioniert basierend auf einem inaktivitätsbasierten Timer (der Wert von "Zugriffsanforderungen erneut überprüfen nach (Minuten)"). Deshalb werden Aufforderungen zur Eingabe der Intune-PIN unabhängig von Aufforderungen zur Eingabe der integrierten App-PIN für Outlook und OneDrive, die standardmäßig beim Start der App angezeigt werden, angezeigt. Wenn der Benutzer gleichzeitig zur Eingabe beider PINs aufgefordert wird, sollte die Intune-PIN Vorrang haben.

Mit der PIN wird sichergestellt, dass nur der richtige Benutzer in der App auf Daten der Organisation zugreifen kann. Ein Endbenutzer muss sich daher mit seinem Geschäfts-, Uni- oder Schulkonto anmelden, bevor er seine Intune-App-PIN festlegen oder zurücksetzen kann. Microsoft Entra ID verarbeitet diese Authentifizierung über den sicheren Tokenaustausch und ist für das Intune App SDK nicht transparent. Hinsichtlich der Sicherheit ist die beste Möglichkeit, ein Geschäfts-, Uni- oder Schulkonto zu schützen, das Konto zu verschlüsseln. Die Verschlüsselung hängt nicht mit der App-PIN zusammen, sondern ist eine eigene App-Schutzrichtlinie.

Im Rahmen der App-PIN-Richtlinie kann der IT-Administrator festlegen, wie oft ein Benutzer versuchen kann, die PIN zu authentifizieren, bevor die App gesperrt wird. Nachdem die Anzahl der Versuche erreicht wurde, kann das Intune App SDK die "Unternehmensdaten" in der App löschen.

MAM unter iOS/iPadOS unterstützt PINs auf Anwendungsebene mit alphanumerischen Zeichen und Sonderzeichen (als Passcode bezeichnet). Um Passcodeeinstellungen zu erzwingen, müssen Apps wie Word, Excel, PowerPoint, Outlook, Managed Browser und Yammer das Intune App SDK für iOS/iPadOS integrieren. Ohne diese Integration kann Intune die Passcodeeinstellungen für diese Apps nicht erzwingen. In Intune wurde dieses Feature in SDK-Version 7.1.12 für iOS/iPadOS eingeführt.

Um dieses Feature zu unterstützen und die Kompatibilität mit früheren Versionen des Intune SDK für iOS/iPadOS Version 7.1.12 und höher zu gewährleisten, behandeln Sie alle PINs (numerisch oder Passcode) getrennt von der numerischen PIN, die in früheren Versionen verwendet wurde. Wenn ein Gerät Anwendungen mit Intune SDK für iOS/iPadOS-Versionen vor 7.1.12 UND nach 7.1.12 vom selben Herausgeber enthält, müssen daher zwei PINs eingerichtet werden.

Allerdings sind die beiden PINs (für jede App) in keiner Weise miteinander verbunden. Sie müssen die auf die App angewendete App-Schutzrichtlinie einhalten. Nur wenn für die Apps A und B die gleichen Richtlinien gelten (in Bezug auf die PIN), kann der Benutzer dieselbe PIN zweimal einrichten.

Dieses Verhalten gilt speziell für die PIN für iOS/iPadOS-Anwendungen, die mit der Intune-Verwaltung mobiler Apps aktiviert sind. Wenn Anwendungen im Laufe der Zeit höhere Intune SDK-Versionen für iOS/iPadOS annehmen, ist das zweimalige Festlegen einer PIN für Apps desselben Herausgebers weniger entscheidend.

IT-Administratoren können eine App-Schutzrichtlinie bereitstellen, die erzwingt, dass App-Daten verschlüsselt werden. Im Rahmen einer solchen Richtlinie kann ein IT-Administrator auch angeben, wann die Inhalte verschlüsselt werden.

Intune verschlüsselt Daten gemäß der Richtlinieneinstellung für den App-Schutz für die Verschlüsselung. Weitere Informationen finden Sie unter Richtlinieneinstellungen für Android-Apps und Richtlinieneinstellungen für iOS/iPadOS-App-Schutz.

Nur Daten, die als „unternehmenseigen“ markiert sind, werden gemäß der vom IT-Administrator eingerichteten App-Schutzrichtlinie verschlüsselt. Daten werden als „unternehmenseigen“ betrachtet, wenn sie von einem Speicherort des Unternehmens stammen. Bei Office-Apps behandelt Intune E-Mails (Exchange) und Cloudspeicher (OneDrive) als Unternehmensstandorte. Für Branchen-Apps, die vom Intune App Wrapping Tool verwaltet werden, werden alle App-Daten als "unternehmensbezogen" betrachtet.

Intune kann App-Daten auf drei verschiedene Arten zurücksetzen: vollständiges Gerätezurücksetzen, selektives Zurücksetzen für MDM und selektives MAM-Löschen. Weitere Informationen zur Remotezurücksetzung der MDM finden Sie unter Entfernen von Geräten durch Zurücksetzen oder Abkoppeln. Weitere Informationen zum selektiven Zurücksetzen mit MAM finden Sie unter the Retire action (Die Aktion „Abkoppeln“) und Zurücksetzen von Unternehmensdaten in Apps.

Durch "Zurücksetzen " werden alle Benutzerdaten und -einstellungen vom Gerät entfernt, indem das Gerät auf die Werkseinstellungen zurückgesetzt wird. Das Gerät wird aus Intune entfernt.

Die selektive Zurücksetzung für MDM entfernt nur Unternehmensdaten vom Gerät, ohne dass sich dies auf personenbezogene Daten auswirkt. Weitere Informationen finden Sie unter Geräte entfernen – zurückziehen.

Durch selektives Zurücksetzen für MAM können Unternehmensanwendungsdaten von einer App entfernt werden. Die Anforderung wird mithilfe des Microsoft Intune Admin Centers initiiert. Informationen zum Initiieren einer Zurücksetzungsanforderung finden Sie unter So setzen Sie nur die Unternehmensdaten in einer App zurück.

Wenn der Benutzer die App verwendet, wenn die selektive Zurücksetzung initiiert wird, prüft das Intune App SDK alle 30 Minuten, ob eine Anforderung zur selektiven Zurücksetzung vom Intune MAM-Dienst vorliegt. Das SDK überprüft auch, ob eine Anforderung zum selektiven Zurücksetzen vorhanden ist, wenn ein Benutzer eine App zum ersten Mal startet und sich mit einem Geschäfts-, Uni- oder Schulkonto anmeldet.

Der Intune-App-Schutz hängt von der Identität des Benutzers ab, um zwischen der Anwendung und dem Intune App SDK konsistent zu sein. Die einzige Möglichkeit, dies zu garantieren, ist eine moderne Authentifizierung. Es gibt Szenarien, in denen Apps möglicherweise mit einer lokalen Konfiguration funktionieren, jedoch nicht konsistent oder garantiert sind.

Ja! Der IT-Administrator kann die App-Schutzrichtlinie für die Microsoft Edge-App bereitstellen und festlegen. Der IT-Administrator kann verlangen, dass alle Weblinks in von Intune verwalteten Apps mit der Microsoft Edge-App geöffnet werden.

Unternehmensportal-App und Intune-App-Schutz

Intune-App-Schutzrichtlinien für den Zugriff werden in einer bestimmten Reihenfolge auf Endbenutzergeräte angewendet, wenn sie versuchen, von ihrem Unternehmenskonto aus auf eine Ziel-App zuzugreifen. Im Allgemeinen hat eine Blockierung Vorrang, gefolgt von einer verwerfbaren Warnung. Es wird z. B. eine Einstellung der mindestens erforderlichen Android-Patch-Version, die den Benutzer auffordert, ein Patchupgrade auszuführen, im Anschluss an die Einstellung angewendet, die dem Benutzer den Zugriff verweigert (wenn dies auf den Benutzer/die App zutrifft). In diesem Szenario konfiguriert der IT-Administrator die Einstellung für die mindestens erforderliche Version des Android-Patch auf den 1.3.2018 und die für die mindestens erforderliche Version des Android-Patch, die nur für Warnungen gilt, auf den 1.2.2018. Gleichzeitig versucht das Gerät, das noch die Patch-Version vom 1.1.2018 verwendet, auf die App zuzugreifen. In Folge dessen wird der Endbenutzer basierend auf restriktiveren Einstellungen für die mindestens erforderliche Version des Android-Patch blockiert und erhält keinen Zugriff.

Wenn verschiedene Arten von Einstellungen verarbeitet werden müssen, haben die Anforderungen hinsichtlich bestimmter App-Versionen Vorrang. Erst danach werden Anforderungen berücksichtigt, die eine Version des Android-Betriebssystems und Android-Patch-Versionen betreffen. Anschließend werden in derselben Reihenfolge mögliche Warnungen für sämtliche Einstellungstypen überprüft.

Der Intune-Dienst kontaktiert Google Play in einem nicht konfigurierbaren Intervall, das durch die Dienstauslastung bestimmt wird. Jede vom IT-Administrator für die Einstellung für die Geräteintegritätsprüfung von Google Play konfigurierte Aktion wird basierend auf dem zuletzt an den Intune-Dienst zum Zeitpunkt des bedingten Starts gemeldeten Ergebnisses ausgeführt. Wenn das Google-Ergebnis zur Geräteintegrität konform ist, werden keine Maßnahmen ergriffen. Wenn das Google-Ergebnis zur Geräteintegrität nicht konform ist, wird die vom IT-Administrator konfigurierte Maßnahme sofort ausgeführt. Wenn die Anfrage an die Geräteintegritätsprüfung von Google Play aus irgendeinem Grund fehlschlägt, wird das zwischengespeicherte Ergebnis aus der vorherigen Anfrage für bis zu 24 Stunden oder den nächsten Geräteneustart verwendet, je nachdem, was zuerst eintritt. Zu diesem Zeitpunkt blockieren Intune-App-Schutzrichtlinien den Zugriff, bis ein aktuelles Ergebnis abgerufen werden kann.

Die Anweisungen dazu variieren je nach Gerät geringfügig. Grundsätzlich müssen Sie dafür den Google Play Store besuchen, dort auf My apps & games (Meine Apps und Spiele) klicken und dann auf das Ergebnis der letzten App-Überprüfung klicken. Dadurch gelangen Sie zum Play Protect-Menü. Sorgen Sie dafür, dass die Option Scan device for security threats (Gerät auf Sicherheitsbedrohungen überprüfen) aktiviert ist.

Intune wendet Google Play Integrity-APIs an, um unsere bestehenden Stammerkennungsprüfungen für nicht registrierte Geräte zu ergänzen. Google hat diesen API-Satz für Android-Apps entwickelt und verwaltet, die sie übernehmen können, wenn sie nicht möchten, dass ihre Apps auf gerooteten Geräten ausgeführt werden. Die Android Pay-App hat dies zum Beispiel integriert. Google teilt zwar nicht die Gesamtheit der stattfindenden Root-Erkennungsprüfungen öffentlich, aber wir erwarten, dass diese APIs Benutzer erkennen, die ihre Geräte gerootet haben. Diesen Benutzern kann der Zugriff dann verwehrt werden, oder ihre Unternehmenskonten können aus den Apps entfernt werden, für die Richtlinien aktiviert sind. "Grundlegende Integrität überprüfen" informiert Sie über die allgemeine Integrität des Geräts. Für gerootete Geräte, Emulatoren, virtuelle Geräte und Geräte, die Anzeichen von Manipulationen aufweisen, schlägt die Überprüfung der grundlegenden Integrität fehl. "Grundlegende Integrität & zertifizierten Geräten überprüfen" informiert Sie über die Kompatibilität des Geräts mit den Diensten von Google. Nur unveränderte Geräte, die von Google zertifiziert wurden, bestehen diese Überprüfung. Zu den Geräten, die ausfallen, gehören:

• Geräte, für die die Überprüfung der Basisintegrität fehlschlägt
• Geräte mit entsperrtem Bootloader
• Geräte mit einem benutzerdefinierten Systemimage/ROM
• Geräte, die der Hersteller nicht für die Google-Zertifizierung beantragt oder bestanden hat
• Geräte mit einem Systemimage, das direkt aus den Quelldateien des Open Source-Programms für Android erstellt wurde
• Geräte mit einem Systemimage, das sich noch in der Betaversion oder in der Entwicklervorschau befindet

Technische Details finden Sie in der Google-Dokumentation zur Play Integrity-API .

Für Integritätsprüfungen in Google Play muss der Endnutzer mindestens während der Zeit online sein, in der der "Roundtrip" zur Ermittlung der Nachweisergebnisse ausgeführt wird. Wenn der Endbenutzer offline ist, kann der IT-Administrator weiterhin erwarten, dass ein Ergebnis der Einstellung "Jailbreak/Rooted devices" erzwungen wird. Wenn der Endbenutzer jedoch zu lange offline war, kommt der Wert "Offline-Aktivierungszeitraum" ins Spiel, und der gesamte Zugriff auf Geschäfts-, Schul- oder Unidaten wird blockiert, sobald dieser Timerwert erreicht ist, bis der Netzwerkzugriff verfügbar ist. Die Aktivierung beider Einstellungen ermöglicht einen mehrschichtigen Ansatz, um die Geräte der Endbenutzer fehlerfrei zu halten, was wichtig ist, wenn Endbenutzer über Mobilgeräte auf Geschäfts-, Schul- oder Unidaten zugreifen.

Sowohl für die Einstellungen "Integritätsurteil wiedergeben" als auch für "Bedrohungsüberprüfung in Apps" ist eine von Google bestimmte Version der Google Play Services erforderlich, um ordnungsgemäß zu funktionieren. Da es sich um Einstellungen handelt, die in den Bereich der Sicherheit fallen, wird der Endbenutzer blockiert, wenn er mit diesen Einstellungen angegriffen wird und nicht die entsprechende Version der Google Play-Dienste erfüllt oder keinen Zugriff auf Google Play-Dienste hat.

Die Richtlinien für den Intune-App-Schutz ermöglichen es Ihnen, den App-Zugriff nur auf Benutzer mit Intune-Lizenz zu beschränken. Eine der Möglichkeiten, den Zugriff auf die App zu steuern, besteht darin, Apple Touch ID oder Face ID auf unterstützten Geräten zu erfordern. Intune implementiert ein Verhalten, bei dem Intune den Benutzer bei Änderungen an der biometrischen Datenbank des Geräts zur Eingabe einer PIN auffordert, wenn der nächste Wert für ein Inaktivitäts-Timeout erreicht ist. Zu Änderungen an biometrischen Daten zählen das Hinzufügen oder Entfernen von Fingerabdrücken oder Gesichtern. Wenn der Intune-Benutzer keine PIN festgelegt hat, wird er aufgefordert, eine Intune-PIN einzurichten.

Der Zweck besteht darin, die Daten Ihrer Organization in der App weiterhin sicher und auf App-Ebene geschützt zu halten. Dieses Feature ist nur für iOS/iPadOS verfügbar und erfordert die Teilnahme von Anwendungen, die das Intune APP SDK für iOS/iPadOS, Version 9.0.1 oder höher, integrieren. Die Integration des SDK ist erforderlich, damit das Verhalten für die Zielanwendungen erzwungen werden kann. Diese Integration erfolgt kontinuierlich und ist abhängig von den jeweiligen Anwendungsteams. Zu den betreffenden Apps zählen z. B. WXP, Outlook, Managed Browser und Yammer.

Die Intune-App-Schutzrichtlinie kann die iOS-Freigabeerweiterung nicht steuern, ohne das Gerät zu verwalten. Daher verschlüsselt Intune "Unternehmensdaten", bevor sie außerhalb der App freigegeben werden. Sie können dies überprüfen, indem Sie versuchen, die Unternehmensdatei außerhalb der verwalteten App zu öffnen. Die Datei sollte verschlüsselt sein und außerhalb der verwalteten App nicht geöffnet werden können.

Intune-App-Schutzrichtlinien für den Zugriff werden in einer bestimmten Reihenfolge auf Endbenutzergeräte angewendet, wenn sie versuchen, von ihrem Unternehmenskonto aus auf eine bestimmte App zuzugreifen. Im Allgemeinen hat eine Zurücksetzung Vorrang, gefolgt von einer Blockierung und dann einer verwerfbaren Warnung. Im Anschluss an die Einstellung, die dem Benutzer den Zugriff verweigert, wird z. B. eine Einstellung der mindestens erforderlichen iOS/iPadOS-Version angewendet, die den Benutzer auffordert, ein Update des iOS/iPadOS-Betriebssystems auszuführen (wenn dies auf den Benutzer/die App zutrifft). In dem Szenario, in dem der IT-Administrator das Betriebssystem min iOS/iPadOS auf 11.0.0.0 und das min iOS/iPadOS-Betriebssystem (nur Warnung) auf 11.1.0.0 konfiguriert, während das Gerät, das versucht, auf die App zuzugreifen, unter iOS/iPadOS 10 war, würde der Endbenutzer basierend auf der restriktiveren Einstellung für die minimale iOS/iPadOS-Betriebssystemversion blockiert, was zu einem blockierten Zugriff führt.

Bei verschiedenen Arten von Einstellungen hat eine Versionsanforderung des Intune App SDK Vorrang und dann eine App-Versionsanforderung, gefolgt von der Anforderung der iOS/iPadOS-Betriebssystemversion. Anschließend werden in derselben Reihenfolge mögliche Warnungen für sämtliche Einstellungstypen überprüft. Es wird empfohlen, die Versionsanforderung des Intune App SDK nur auf Anweisung des Intune-Produktteams für wesentliche Blockierungsszenarien zu konfigurieren.

Siehe auch

• Bereitstellen von Intune
• Erstellen eines Rolloutplans
• Richtlinieneinstellungen für die Verwaltung mobiler Android-Apps in Microsoft Intune
• Richtlinieneinstellungen für die Verwaltung mobiler iOS-/iPadOS-Apps
• Aktualisierung der Richtlinien für App-Schutz
• Überprüfen Ihrer Richtlinien zum Schutz von Apps
• Hinzufügen von App-Konfigurationsrichtlinien für verwaltete Apps ohne Geräteregistrierung
• So erhalten Sie Support in Microsoft Intune