Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Teams ist der Hub für die Teamzusammenarbeit in Microsoft 365, der die Personen, Inhalte und Tools integriert, die Ihr Team benötigt, um engagierter und effektiver zu arbeiten.
Die umfangreichsten und umfassendsten Schutzfunktionen für Microsoft 365-Daten sind verfügbar, wenn Sie die Enterprise Mobility + Security-Suite abonnieren, die Features wie Microsoft Intune und Microsoft Entra ID P1 oder P2 wie bedingten Zugriff umfasst. Sie sollten mindestens eine Richtlinie für bedingten Zugriff bereitstellen, die die Konnektivität mit Teams für iOS und Android von mobilen Geräten aus ermöglicht, sowie eine Intune-App-Schutzrichtlinie, die sicherstellt, dass die Zusammenarbeit geschützt ist.
Bedingten Zugriff anwenden
Organisationen können Microsoft Entra-Richtlinien für bedingten Zugriff verwenden, um sicherzustellen, dass Benutzer nur über Teams für iOS und Android auf Geschäfts-, Schul- oder Uniinhalte zugreifen können. Dazu benötigen Sie eine Richtlinie für bedingten Zugriff, die auf alle potenziellen Benutzer abzielt. Diese Richtlinien werden unter Bedingter Zugriff: Genehmigte Client-Apps oder App-Schutzrichtlinie erforderlich beschrieben.
Hinweis
Um App-basierte Richtlinien für bedingten Zugriff nutzen zu können, muss die Microsoft Authenticator-App auf iOS-Geräten installiert sein. Für Android-Geräte ist die App für das Intune-Unternehmensportal erforderlich. Weitere Informationen finden Sie unter App-basierter bedingter Zugriff mit Intune.
Folgen Sie den Schritten unter Anfordern genehmigter Client-Apps oder einer App-Schutzrichtlinie bei mobilen Geräten, die Teams für iOS und Android zulässt, aber OAuth-fähige Mobilgeräteclients von Drittanbietern daran hindert, eine Verbindung mit Microsoft 365-Endpunkten herzustellen.
Hinweis
Diese Richtlinie stellt sicher, dass mobile Benutzer mithilfe von entsprechenden Apps auf alle Microsoft 365-Endpunkte zugreifen können.
Intune-App-Schutzrichtlinien erstellen
App-Schutz-Richtlinien definieren, welche Apps zulässig sind und welche Aktionen sie mit den Daten Ihrer organization ausführen können. Mithilfe der in den App-Schutzrichtlinien verfügbaren Auswahlmöglichkeiten können Organisationen den Schutz an ihre spezifischen Anforderungen anpassen. Für einige Organisationen ist es jedoch möglicherweise nicht offensichtlich, welche Richtlinieneinstellungen genau erforderlich sind, um ein vollständiges Szenario zu implementieren. Um Organisationen bei der Priorisierung der Endpunkthärtung mobiler Clients zu unterstützen, hat Microsoft die Taxonomie für seine App-Schutzrichtlinien eingeführt Datenschutzframework für die Verwaltung mobiler iOS- und Android-Apps.
Das Datenschutzframework für App-Schutzrichtlinien ist in drei verschiedene Konfigurationsebenen unterteilt, wobei jede Ebene auf der vorherigen Ebene aufbaut:
- Einfacher Datenschutz für Unternehmen (Ebene 1): Diese Ebene stellt sicher, dass Apps mit einer PIN geschützt und verschlüsselt sind, und dient zum Durchführen selektiver Löschvorgänge. Bei Android-Geräten überprüft diese Ebene den Android-Gerätenachweis. Dabei handelt es sich um eine Konfiguration auf Einstiegsebene, die ähnliche Datenschutzkontrolle in Exchange Online-Postfachrichtlinien bereitstellt und der IT sowie dem Benutzerstamm eine Einführung in App-Schutzrichtlinien bietet.
- Der erweiterte Datenschutz für Unternehmen (Stufe 2) führt App-Schutzrichtlinien ein, Mechanismen zur Verhinderung von Datenlecks und Mindestanforderungen an das Betriebssystem. Dies ist die Konfiguration, die für die meisten mobilen Benutzer gilt, die auf Geschäfts-, Schul- oder Unidaten zugreifen.
- Enterprise High Data Protection (Stufe 3) führt erweiterte Datenschutzmechanismen, erweiterte PIN-Konfiguration und Richtlinien zum Schutz von Apps ein Mobile Threat Defense. Diese Konfiguration ist für Benutzer vorgesehen, die auf Hochrisikodaten zugreifen.
Die spezifischen Empfehlungen für jede Konfigurationsebene sowie die minimalen zu schützenden Apps finden Sie unter Datenschutzframework mithilfe von App-Schutzrichtlinien.
Unabhängig davon, ob das Gerät in einer UEM-Lösung (Unified Endpoint Management) registriert ist, muss eine Intune-App-Schutzrichtlinie für iOS- und Android-Apps erstellt werden. Führen Sie dazu die Schritte in Erstellen und Zuweisen von App-Schutzrichtlinienaus. Diese Richtlinien müssen mindestens die folgenden Bedingungen erfüllen:
Sie umfassen alle mobilen Anwendungen von Microsoft 365, wie Edge, Outlook, OneDrive, Office oder Teams, da so sichergestellt wird, dass die Nutzer in jeder Microsoft-App sicher auf Arbeits- oder Schuldaten zugreifen und diese bearbeiten können.
Sie sind allen Benutzern zugewiesen. Dadurch wird sichergestellt, dass alle Benutzer geschützt sind, unabhängig davon, ob sie Teams für iOS oder Android verwenden.
Bestimmen Sie, welche Framework-Ebene Ihre Anforderungen erfüllt. Die meisten Organisationen sollten die Einstellungen implementieren, die unter Erweiterter Datenschutz für Unternehmen (Stufe 2) definiert sind, da dies die Steuerung von Datenschutz und Zugriffsanforderungen ermöglicht.
Weitere Informationen zu den verfügbaren Einstellungen finden Sie unter Einstellungen für App-Schutzrichtlinien für Android und Einstellungen für App-Schutzrichtlinien für iOS.
Wichtig
Um Intune-App-Schutzrichtlinien auf Apps auf Android-Geräten anzuwenden, die nicht in Intune registriert sind, muss der Benutzer auch das Intune-Unternehmensportal installieren.
Verwenden der App-Konfiguration
Teams für iOS und Android unterstützt App-Einstellungen, mit denen Unified Endpoint Management wie Microsoft Intune-Administratoren das Verhalten der App anpassen können.
Die App-Konfiguration kann entweder über den MDM-Betriebssystemkanal (Mobile Device Management) auf registrierten Geräten (Managed App Configuration Channel für iOS oder Android im Enterprise-Kanal für Android) oder über den Kanal „Intune-Appschutz-Richtlinie“ (APP) bereitgestellt werden. Teams für iOS und Android unterstützt die folgenden Konfigurationsszenarien:
- Nur Geschäfts-, Schul- oder Unikonten zulassen
Wichtig
Für Konfigurationsszenarien, die eine Geräteregistrierung unter Android erfordern, müssen die Geräte bei Android Enterprise registriert sein, und Teams für Android muss über den Managed Google Play Store bereitgestellt werden. Weitere Informationen finden Sie unter Einrichten der Registrierung von persönlichen Android Enterprise-Arbeitsprofilgeräten und Hinzufügen von App-Konfigurationsrichtlinienfür verwaltete Android Enterprise-Geräte.
Jedes Konfigurationsszenario hebt seine spezifischen Anforderungen hervor. Gibt beispielsweise an, ob das Konfigurationsszenario eine Geräteregistrierung erfordert und somit mit jedem UEM-Anbieter funktioniert, oder ob Intune-App-Schutzrichtlinien erforderlich sind.
Wichtig
Bei App-Konfigurationsschlüsseln wird die Groß-/Kleinschreibung beachtet. Verwenden Sie die richtige Groß-/Kleinschreibung, um sicherzustellen, dass die Konfiguration wirksam wird.
Hinweis
Mit Microsoft Intune wird die App-Konfiguration, die über den MDM-Betriebssystemkanal bereitgestellt wird, als verwaltete Geräte App Configuration Policy (ACP) bezeichnet. App-Konfiguration, die über die Appschutz-Richtlinie bereitgestellt wird, wird als verwaltete Apps-App Configuration-Richtlinie bezeichnet.
Nur Geschäfts-, Schul- oder Unikonten zulassen
Die Einhaltung der Datensicherheits- und Compliance-Richtlinien unserer größten und streng regulierten Kunden ist eine wichtige Säule des Microsoft 365-Werts. Einige Unternehmen müssen alle Kommunikationsinformationen in ihrer Unternehmensumgebung erfassen und sicherstellen, dass die Geräte nur für die Unternehmenskommunikation verwendet werden. Um diese Anforderungen zu unterstützen, kann Teams für iOS und Android auf registrierten Geräten so konfiguriert werden, dass nur ein einziges Unternehmenskonto innerhalb der App bereitgestellt werden kann.
Weitere Informationen zum Konfigurieren der Einstellung für den Organisationsmodus für zulässige Konten finden Sie hier:
Dieses Konfigurationsszenario funktioniert nur mit registrierten Geräten. Es wird jedoch jeder UEM-Anbieter unterstützt. Wenn Sie kein Microsoft Intune verwenden, müssen Sie in Ihrer UEM-Dokumentation nachlesen, wie Sie diese Konfigurationsschlüssel bereitstellen.
Vereinfachen Sie die Anmeldung mit der domänenlosen Anmeldung
Sie können die Anmeldung in Microsoft Teams für iOS und Android vereinfachen, indem Sie den Domänennamen auf dem Anmeldebildschirm für Benutzer mit gemeinsam genutzten und verwalteten Geräten vorab ausfüllen, indem Sie die folgenden Richtlinien anwenden:
| Name | Wert |
|---|---|
| domain_name | Ein Zeichenfolgenwert, der die Domäne des angefügten Mandanten angibt. Verwenden Sie einen durch Semikolons getrennten Wert, um mehrere Domänen hinzuzufügen. Diese Richtlinie funktioniert nur auf registrierten Geräten. |
| enable_numeric_emp_id_keypad | Ein boolescher Wert, der angibt, dass die Mitarbeiter-ID vollständig numerisch ist und die Zifferntastatur zur einfachen Eingabe aktiviert sein sollte. Wenn der Wert nicht festgelegt ist, wird die alphanumerische Tastatur geöffnet. Diese Richtlinie funktioniert nur auf registrierten Geräten. |
Hinweis
Diese Richtlinien funktionieren nur auf registrierten, freigegebenen und verwalteten Geräten.
Benachrichtigungseinstellungen in Microsoft Teams
Benachrichtigungen halten Sie auf dem Laufenden darüber, was um Sie herum passiert oder passieren wird. Sie werden je nach den Einstellungen auf dem Startbildschirm oder dem Sperrbildschirm angezeigt. Verwenden Sie die folgenden Optionen, um Ihre Benachrichtigungen im Portal über eine App-Schutzrichtlinie zu konfigurieren.
| Optionen | Beschreibung |
|---|---|
| Zulassen | Aktuelle Benachrichtigung mit allen Details (Titel und Inhalt) anzeigen. |
| Blockieren von Organisationsdaten | Entfernen Sie den Titel, und ersetzen Sie den Inhalt durch "Sie haben eine neue Nachricht" für Chatbenachrichtigungen und "Es gibt neue Aktivitäten" für andere. Ein Benutzer kann nicht auf eine Benachrichtigung von einem Sperrbildschirm antworten . |
| Gesperrt | Unterdrückung der Benachrichtigung und Benutzer wird nicht benachrichtigt. |
So legen Sie die Richtlinien in Intune fest
Melden Sie sich beim Microsoft Intune Admin Center an.
Navigieren Sie im linken Navigationsbereich zu App-Schutz>.
Klicken Sie auf "Richtlinie erstellen", und wählen Sie die gewünschte Plattform aus, z. B. iOS/iPadOS.
Fügen Sie auf der Seite "Grundlagen " Details wie Name und Beschreibung hinzu. Klicken Sie auf Weiter.
Klicken Sie auf der Seite "Apps " auf "Öffentliche Apps auswählen" und suchen Sie dann die Microsoft Teams-Apps , und wählen Sie sie aus. Klicken Sie auf Weiter.
Suchen Sie auf der Seite Datenschutz die Einstellung Benachrichtigungen zu Organisationsdaten und wählen Sie die Option Organisationsdaten blockieren aus. Legen Sie die Zuweisungen für die einzubeziehenden Benutzergruppen fest, und erstellen Sie dann Ihre Richtlinie.
Wechseln Sie nach dem Erstellen derApp-Schutzrichtlinie zu Apps-Konfiguration>>:Verwaltete Appserstellen>.
Fügen Sie auf der Seite "Grundlagen " einen Namen hinzu, und klicken Sie auf "Öffentliche Apps auswählen". Suchen Sie dann die Microsoft Teams-Apps , und wählen Sie sie aus. Klicken Sie auf Weiter.
Legen Sie unter Allgemeine Konfigurationseinstellungen eine der Benachrichtigungstasten auf 1 fest, um das Feature für Chat, Kanäle, alle anderen Benachrichtigungen oder eine dieser Kombinationen zu aktivieren . Und legen Sie den Wert auf 0 fest, um das Feature zu deaktivieren.
Name Wert com.microsoft.teams.chat.notifications.IntuneMAMOnly 1 für Ein, 0 für Aus com.microsoft.teams.channel.notifications.IntuneMAMOnly 1 für Ein, 0 für Aus com.microsoft.teams.other.notifications.IntuneMAMOnly 1 für Ein, 0 für Aus 
Legen Sie die Zuweisungen für die einzubeziehenden Benutzergruppen fest, und erstellen Sie dann Ihre Richtlinie.
Wechseln Sie nach dem Erstellen der Richtlinie zu App-Schutz>. Suchen Sie Ihre neu erstellte App-Schutz-Richtlinie, und überprüfen Sie, ob die Richtlinie bereitgestellt wurde, indem Sie die bereitgestellte Spalte überprüfen. In der Spalte Bereitgestellt sollte für die erstellte Richtlinie Ja angezeigt werden. Wenn Nein angezeigt wird, aktualisieren Sie die Seite, und überprüfen Sie sie nach 10 Minuten.
Die Benachrichtigungen werden auf iOS- und Android-Geräten angezeigt
- Melden Sie sich auf dem Gerät sowohl bei Teams als auch beim Unternehmensportal an. Legen Sie die Einstellung auf"Vorschauen>immer anzeigen" fest, um sicherzustellen, dass die Benachrichtigungseinstellungen Ihres Geräts Benachrichtigungen von Teams zulassen.
- Sperren Sie das Gerät, und senden Sie Benachrichtigungen an den auf diesem Gerät angemeldeten Benutzer. Tippen Sie auf eine Benachrichtigung, um sie auf dem Sperrbildschirm zu erweitern, ohne das Gerät zu entsperren.
- Benachrichtigungen auf dem Sperrbildschirm sollten wie folgt aussehen (Screenshots stammen aus iOS, aber die gleichen Zeichenfolgen sollten auf Android angezeigt werden):
Keine Option für Antworten oder andere schnelle Benachrichtigungsreaktionen vom Sperrbildschirm sollte sichtbar sein.
Der Avatar des Absenders ist nicht sichtbar; Initialen sind jedoch in Ordnung.
Die Benachrichtigung sollte den Titel anzeigen, aber den Inhalt durch "Sie haben eine neue Nachricht" für Chatbenachrichtigungen und "Es gibt neue Aktivitäten" für andere ersetzen.
Weitere Informationen zu App-Konfigurationsrichtlinien und App-Schutzrichtlinien finden Sie in den folgenden Themen:
Mehrere verwaltete Konten
Teams für iOS unterstützt das MMA-Feature (Multiple Managed Accounts) in der mobilen Anwendungsverwaltung (Mobile Application Management, MAM) von Intune. Mit MMA können Benutzer mehr als ein Geschäfts-, Schul- oder Unikonto in Teams hinzufügen und verwalten, während die unabhängige Durchsetzung der App-Schutzrichtlinie für jedes Konto beibehalten wird.
Teams ist eine App mit segmentierter Ansicht, d. h. es werden jeweils Daten für ein Konto angezeigt. Benutzer wechseln zwischen Konten innerhalb der App, und es gilt die App-Schutzrichtlinie für das aktive Konto. Mit MMA:
- Jedes verwaltete Konto verfügt über eine eigene PIN, einen bedingten Start und Datenübertragungsbeschränkungen, die unabhängig voneinander durchgesetzt werden.
- Administratoren können ein verwaltetes Konto selektiv löschen, ohne dass dies Auswirkungen auf andere Konten hat.
- Das Verhalten persönlicher Konten bleibt unverändert – persönliche Konten werden weiterhin nicht verwaltet.
MMA gilt sowohl für Szenarien mit registrierten als auch nicht registrierten Geräten. Jedes verwaltete Konto in Teams unterliegt der App-Schutzrichtlinie für den Benutzer dieses Kontos, wie im Microsoft Intune Admin Center definiert.
Unterstützte App-Versionen, wichtige Verhaltensweisen, häufig gestellte Fragen und Informationen zur Problembehandlung finden Sie unter Mehrere verwaltete Konten für App-Schutzrichtlinien.